QNAP Seite 4

Eine Cross-Site-Scripting-Schwachstelle betrifft QuLog Center. Bei Ausnutzung könnte sie Benutzern erlauben, über das Netzwerk bösartigen Code einzuschleusen. Der Hersteller hat das Problem in QuLog Center 1.8.0.872 sowie 1.7.0.827 (jeweils 2024/06/17) und neuer behoben. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: Update auf QuLog Center 1.8.0.872 bzw. 1.7.0.827 oder neuer.

Mehrere QNAP-Betriebssystemversionen sind von einer Schwachstelle betroffen, bei der Daten ohne Prüfung der Eingabegrösse kopiert werden. Bei erfolgreicher Ausnutzung können authentifizierte Nutzer über das Netzwerk Code ausführen. Der Hersteller hat das Problem in QTS 5.1.8.2823 Build 20240712 und höher sowie in QuTS hero h5.1.8.2823 Build 20240712 und höher behoben. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf die vom Hersteller bereitgestellte fehlerbereinigte Version aktualisieren.

In QNAP QuMagie wurde eine Schwachstelle durch fehlerhafte Zertifikatsvalidierung gemeldet. Bei Ausnutzung können Benutzer im lokalen Netzwerk die Sicherheit des Systems über nicht näher spezifizierte Vektoren kompromittieren. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: QuMagie auf Version 2.3.1 oder neuer aktualisieren – dort ist die Schwachstelle laut Hersteller behoben.

Mehrere Versionen der QNAP-Betriebssysteme sind von einer OS-Command-Injection-Schwachstelle betroffen. Bei Ausnutzung können Nutzer im lokalen Netzwerk über nicht näher spezifizierte Vektoren Befehle ausführen. QNAP hat die Schwachstelle in QTS 5.1.8.2823 Build 20240712 und neuer sowie QuTS hero h5.1.8.2823 Build 20240712 und neuer behoben. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf eine der genannten fehlerbereinigten Versionen aktualisieren.

In mehreren QNAP-Betriebssystemversionen besteht eine Schwachstelle durch fehlende Autorisierungsprüfung: Lokal authentifizierte Nutzer können über nicht näher spezifizierte Vektoren auf Daten zugreifen oder Aktionen durchführen, für die sie nicht berechtigt sind. QuTScloud ist laut Quelle nicht betroffen. CVSS-Basiswert: 7.8 (Hoch). Die Ausnutzung erfolgt laut Vektor lokal mit geringen Rechten und ohne Nutzerinteraktion, gefährdet jedoch Vertraulichkeit, Integrität und Verfügbarkeit vollständig. Empfohlene Massnahme: Aktualisierung auf QTS 5.2.0.2737 Build 20240417 oder QuTS hero h5.2.0.2782 Build 20240601 bzw. neuer.

In der QNAP-Anwendung Video Station wurde eine OS-Command-Injection-Schwachstelle gemeldet. Wird sie ausgenutzt, können authentifizierte Nutzer über das Netzwerk Befehle ausführen. CVSS-Basiswert: 7.4 (Hoch). Empfohlene Massnahme: Update auf Video Station 5.8.2 oder neuer.

In älteren Versionen von QNAP QTS besteht eine OS-Command-Injection-Schwachstelle, die authentifizierten Administratoren die Ausführung von Befehlen über das Netzwerk ermöglicht. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Aktualisierung auf QTS 4.3.6.2805 Build 20240619, 4.3.4.2814 Build 20240618, 4.3.3.2784 Build 20240619, 4.2.6 Build 20240618 oder neuer.

Mehrere QNAP-Betriebssystemversionen enthalten eine Double-Free- Schwachstelle. Wird sie ausgenutzt, kann sie authentifizierten Benutzern erlauben, über das Netzwerk beliebigen Code auszuführen. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Update auf QTS 5.1.7.2770 Build 20240520 oder QuTS hero h5.1.7.2770 Build 20240520 beziehungsweise neuer einspielen.

Eine Schwachstelle durch das Kopieren von Pufferinhalten ohne Prüfung der Eingabegrösse betrifft mehrere Versionen des QNAP-Betriebssystems. Bei erfolgreicher Ausnutzung könnten Nutzer darüber Code über das Netzwerk ausführen. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Update auf QTS 5.1.7.2770 build 20240520 oder QuTS hero h5.1.7.2770 build 20240520 beziehungsweise neuer.

Mehrere QNAP-Betriebssystemversionen sind für eine Path-Traversal-Schwachstelle anfällig. Bei erfolgreicher Ausnutzung können Nutzer Inhalte unerwarteter Dateien lesen und so über das Netzwerk sensible Daten offenlegen. Der Hersteller hat den Fehler in QTS 5.1.4.2596, QTS 4.5.4.2627, QuTS hero h5.1.3.2578, QuTS hero h4.5.4.2626 und QuTScloud c5.1.5.2651 sowie neueren Versionen behoben. CVSS-Basiswert: 8.7 (Hoch). Empfohlene Massnahme: Aktualisierung auf die genannten korrigierten Versionen.

In mehreren QNAP-Betriebssystemversionen erlaubt eine Path-Traversal-Schwachstelle Nutzern das Auslesen des Inhalts unerwarteter Dateien und damit die Offenlegung sensibler Daten über das Netzwerk. QNAP hat den Fehler u. a. in QTS 5.1.4.2596 (Build 20231128), QTS 4.5.4.2627 (Build 20231225), QuTS hero h5.1.3.2578 (Build 20231110), QuTS hero h4.5.4.2626 (Build 20231225) und QuTScloud c5.1.5.2651 behoben. CVSS-Basiswert: 8.7 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine der korrigierten Versionen.

In mehreren QNAP-Betriebssystemversionen ermöglicht laut NVD eine OS-Command-Injection-Schwachstelle Nutzern die Ausführung von Befehlen über das Netzwerk. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Aktualisierung auf QTS 5.1.3.2578 (Build 20231110) oder neuer, QTS 4.5.4.2627 (Build 20231225) oder neuer, QuTS hero h5.1.3.2578 (Build 20231110) oder neuer, QuTS hero h4.5.4.2626 (Build 20231225) oder neuer beziehungsweise QuTScloud c5.1.5.2651 oder neuer.

Für mehrere QNAP-Betriebssystemversionen wurde eine fehlerhafte Autorisierungsprüfung gemeldet. Wird sie ausgenutzt, können authentifizierte Nutzer über das Netzwerk vorgesehene Zugriffsbeschränkungen umgehen. CVSS-Basiswert: 7.4 (Hoch). Empfohlene Massnahme: Update auf QTS 5.1.6.2722 (Build 20240402) bzw. QuTS hero h5.1.6.2734 (Build 20240414) oder neuer.

In mehreren Versionen des QNAP-Betriebssystems besteht eine Schwachstelle für OS-Command-Injection. Authentifizierte Benutzer können dadurch über das Netzwerk beliebige Befehle ausführen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf die vom Hersteller bereitgestellte fehlerbereinigte Version aktualisieren.

In mehreren QNAP-Betriebssystemversionen erlaubt eine SQL-Injection-Schwachstelle authentifizierten Nutzern das Einschleusen von Schadcode über das Netzwerk. QNAP hat den Fehler u. a. in QTS 5.1.5.2645 (Build 20240116), QTS 4.5.4.2627 (Build 20231225), QuTS hero h5.1.5.2647 (Build 20240118), QuTS hero h4.5.4.2626 (Build 20231225) und QuTScloud c5.1.5.2651 behoben. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine der korrigierten Versionen.

Eine fehlerhafte Berechtigungszuweisung für eine kritische Ressource betrifft QNAP Qsync Central. Bei Ausnutzung könnten authentifizierte Benutzer die Ressource über das Netzwerk lesen oder verändern. CVSS-Basiswert: 8.0 (Hoch). Empfohlene Massnahme: auf Qsync Central 4.4.0.15, 4.3.0.11 oder neuer aktualisieren.

QNAP Photo Station enthält eine OS-Command-Injection-Schwachstelle, über die authentifizierte Nutzer Befehle über das Netzwerk ausführen können. Der Hersteller hat den Fehler in Photo Station 6.4.2 (2023/12/15) und späteren Versionen behoben. CVSS-Basiswert: 7.4 (Hoch). Empfohlene Massnahme: Aktualisierung auf Photo Station 6.4.2 oder neuer.

In QNAP Video Station erlaubt eine Schwachstelle Nutzern die Ausführung von Befehlen über das Netzwerk (OS Command Injection). QNAP hat den Fehler in Video Station 5.7.2 (2023/11/23) und neuer behoben. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Video Station 5.7.2 oder neuer.

Mehrere QNAP-Betriebssystemversionen sind laut Quelle von einer Prototype-Pollution-Schwachstelle betroffen. Wird sie ausgenutzt, können Nutzer bestehende Attribute mit Werten inkompatiblen Typs überschreiben, was über das Netzwerk zu einem Absturz führen kann. Der Hersteller hat die Schwachstelle in QTS 5.1.3.2578 Build 20231110 und QuTS hero h5.1.3.2578 Build 20231110 sowie neueren Versionen behoben. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Aktualisierung auf QTS 5.1.3.2578 Build 20231110 bzw. QuTS hero h5.1.3.2578 Build 20231110 oder neuer.

In QNAP QuMagie besteht eine OS-Command-Injection-Schwachstelle. Bei erfolgreicher Ausnutzung können authentifizierte Benutzer über das Netzwerk Befehle ausführen. CVSS-Basiswert: 7.4 (Hoch). Empfohlene Massnahme: Update auf QuMagie 2.2.1 oder neuer einspielen.

In QNAP QuMagie wurde eine OS-Command-Injection-Schwachstelle gemeldet. Bei Ausnutzung könnte sie authentifizierten Benutzern die Ausführung von Befehlen über das Netzwerk erlauben. Die Schwachstelle ist in QuMagie 2.1.3 und neuer behoben. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf QuMagie 2.1.3 oder neuer.

In QNAP QuMagie besteht eine SQL-Injection-Schwachstelle. Bei erfolgreicher Ausnutzung können authentifizierte Benutzer über das Netzwerk schädlichen Code einschleusen. CVSS-Basiswert: 7.4 (Hoch). Empfohlene Massnahme: Update auf QuMagie 2.1.4 oder neuer einspielen.

QNAP QuMagie enthält eine SQL-Injection-Schwachstelle, über die authentifizierte Nutzer schädlichen Code über das Netzwerk einschleusen können. Der Hersteller hat den Fehler in QuMagie 2.1.4 und späteren Versionen behoben. CVSS-Basiswert: 7.4 (Hoch). Empfohlene Massnahme: Aktualisierung auf QuMagie 2.1.4 oder neuer.

In QNAP Music Station besteht eine Path-Traversal-Schwachstelle. Wird sie ausgenutzt, können Nutzer den Inhalt nicht vorgesehener Dateien über das Netzwerk auslesen und dadurch sensible Daten offenlegen. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: Update auf Music Station 4.8.11, 5.1.16, 5.3.23 oder neuer.

In QNAP QUSBCam2 wurde eine OS-Command-Injection-Schwachstelle gemeldet. Bei Ausnutzung könnten Benutzer Befehle über ein Netzwerk ausführen. Behoben in QUSBCam2 2.0.3 (15.06.2023) und späteren Versionen. CVSS-Basiswert: 8.8 (Hoch).

In mehreren Versionen des QNAP-Betriebssystems besteht eine Path-Traversal-Schwachstelle. Über Netzwerkzugriff können Nutzer den Inhalt unerwarteter Dateien lesen und dadurch sensible Daten offenlegen. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: Update auf QTS 5.1.0.2444 Build 20230629 oder neuer, QuTS hero h5.1.0.2424 Build 20230609 oder neuer bzw. QuTScloud c5.1.0.2498 oder neuer.

In QNAP Music Station besteht eine Path-Traversal-Schwachstelle, über die authentifizierte Nutzer den Inhalt unerwarteter Dateien lesen und dadurch sensible Daten über das Netzwerk offenlegen können. CVSS-Basiswert: 7.7 (Hoch). Empfohlene Massnahme: Update auf Music Station 5.3.22 oder neuer.

Eine Path-Traversal-Schwachstelle in QNAP Music Station ermöglicht authentifizierten Benutzern, den Inhalt unerwarteter Dateien auszulesen und sensible Daten über das Netzwerk offenzulegen. CVSS-Basiswert: 7.7 (Hoch). Empfohlene Massnahme: Update auf Music Station 5.3.22 oder neuer.

Eine Schwachstelle durch eine Pufferkopie ohne Pruefung der Eingabegroesse betrifft das QNAP-Betriebssystem. Bei Ausnutzung koennen entfernte Benutzer moeglicherweise Code ueber nicht naeher spezifizierte Vektoren ausfuehren. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: auf QTS 4.3.6.2441 Build 20230621, QTS 4.3.3.2420 Build 20230621, QTS 4.2.6 Build 20230621, QTS 4.3.4.2451 Build 20230621 oder neuer aktualisieren.

In QNAP-Betriebssystemen wurde ein Pufferüberlauf durch fehlende Grössenprüfung der Eingabe gemeldet, der entfernten Benutzern über nicht näher spezifizierte Vektoren die Ausführung von Code ermöglichen kann. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktualisierung auf Multimedia Console 2.1.1 bzw. 1.4.7 oder neuer.

In den Betriebssystemen von QNAP wurde eine Schwachstelle durch OS-Command-Injection gemeldet. Bei erfolgreicher Ausnutzung können entfernte, authentifizierte Benutzer Befehle auf betroffenen QNAP-Geräten ausführen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Auf die vom Hersteller bereitgestellten korrigierten Versionen aktualisieren, u. a. QTS 5.0.1.2376 Build 20230421, QTS 4.5.4.2374 Build 20230416, QuTS hero h5.0.1.2376 Build 20230421 oder neuer.

In den betroffenen QNAP-Betriebssystemen erlaubt eine unzureichende Verschlüsselungsstärke lokalen Netzwerk-Clients, Daten mittels Brute-Force-Angriffen über nicht näher spezifizierte Vektoren zu entschlüsseln. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: Update auf QTS 5.0.1.2425 Build 20230609 oder neuer, QTS 5.1.0.2444 Build 20230629 oder neuer, QTS 4.5.4.2467 Build 20230718 oder neuer, QuTS hero h5.1.0.2424 Build 20230609 oder neuer beziehungsweise QuTS hero h4.5.4.2476 Build 20230728 oder neuer.

In mehreren QNAP-Betriebssystemversionen wurde ein Buffer Overflow gemeldet. Ein entfernter Angreifer, der zuvor ein Administratorkonto erlangt hat, kann die Schwachstelle ausnutzen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In mehreren QNAP-Betriebssystemversionen wurde eine Path-Traversal-Schwachstelle gemeldet. Erlangt ein entfernter Angreifer ein Administratorkonto, kann er die Schwachstelle ausnutzen, um Dateien zu lesen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: betroffene QNAP-Betriebssystemversion aktualisieren.

In QNAP File Station 6 wurde eine Schwachstelle durch NULL-Pointer-Dereferenzierung gemeldet. Ein entfernter Angreifer, der ein Benutzerkonto erlangt, kann die Schwachstelle ausnutzen, um einen Denial of Service (DoS) auszulösen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In QNAP File Station 6 wurde eine Schwachstelle durch Ressourcenzuteilung ohne Begrenzung oder Drosselung gemeldet. Ein entfernter Angreifer, der ein Benutzerkonto erlangt, kann die Lücke ausnutzen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Eine Path-Traversal-Schwachstelle betrifft das QNAP License Center. Erlangt ein lokaler Angreifer ein Administratorkonto, kann er die Schwachstelle ausnutzen, um den Inhalt unerwarteter Dateien auszulesen. CVSS-Basiswert: 4.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: das License Center auf eine fehlerbereinigte Version aktualisieren.

In mehreren QNAP-Betriebssystemversionen wurde eine Cross-Site-Scripting-Schwachstelle (XSS) gemeldet. Entfernte Angreifer können sie ausnutzen, um Sicherheitsmechanismen zu umgehen. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: betroffene QNAP-Betriebssysteme gemäss Herstelleradvisory aktualisieren.