Vulnérabilités critiques dans Qnap
Date de publication :
QVR est une suite d’enregistrement de vidéosurveillance produite par QNAP.
QTS est un système d’exploitation d’entrée de gamme pour serveur NAS QNAP.
QuTS est un système d’exploitation haute performance pour serveur NAS QNAP.
CVE-2022-27588[Score CVSS v3.1 : 9.8] (critique)
Une faille dont les détails techniques n’ont pas été rendus publics dans QNAP VS Series NVR, utilisant QVR, permet à un attaquant distant d’exécuter du code arbitraire sur le système.
CVE-2021-44051[Score CVSS v3.1 : 8.8]
QTS, QuTS hero, et QuTS cloud sont vulnérables à une injection de commande. Cette faille permet à un attaquant authentifié, grâce à l’envoi de requêtes forgées, d’exécuter du code arbitraire sur le système.
Informations
La faille est activement exploitée :
Un correctif existe :
Une mesure de contournement existe :
Risques
Exécution de code arbitraire
Criticité
Score CVSS v3.1: 9.8 max (critique)
La faille est activement exploitée
Non
Un correctif existe
Oui
Une mesure de contournement existe
Non
La vulnérabilité exploitée est du type
Pour l’ensemble des CVE présentées.
CWE-77: Improper Neutralization of Special Elements used in a Command
Détails sur l’exploitation
Pour la CVE-2022-27588
Vecteur d’attaque : Réseau.
Complexité de l’attaque : Faible.
Privilèges nécessaires pour réaliser l’attaque : Aucun.
Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.
Pour la CVE-2021-44051
Vecteur d’attaque : Réseau.
Complexité de l’attaque : Faible.
Privilèges nécessaires pour réaliser l’attaque : Authentification utilisateur simple.
Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.
Composants vulnérables
Pour la CVE-2022-27588
QNAP VS Series QVR est affecté par cette vulnérabilité.
Pour la CVE-2021-44051
Les produits QNAP QTS, QNAP QuTS hero et QNAP QuTScloud sont affectés par cette vulnérabilité.
Solutions ou recommandations
Pour la CVE-2022-27588
- Mettre à jour QNAP VS Series QVR aux versions 5.1.6 (build 20220401)et supérieures.
Pour la CVE-2021-44051
Mettre à jour les produits suivants :
- QTS aux versions 5.0.0.1986 (build 20220324) et supérieures.
- QTS aux versions 4.5.4.1991 (build 20220329) et supérieures.
- QTS aux versions 4.3.6.1965 (build 20220302 et supérieures.
- QTS aux versions 4.3.4.1976 (build 20220303) et supérieures.
- QTS aux versions 4.3.3.1945 (build 20220303) et supérieures.
- QTS aux versions 4.2.6 (build 20220304)et supérieures.
- QuTS hero aux versions h5.0.0.1986 (build 20220324)et supérieures.
- QuTS hero aux versions h4.5.4.1971 (build 20220310) et supérieures.
- QuTScloud aux versions c5.0.1.1998 et supérieures.