CVE-2025-30273
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
W kilku wersjach systemu operacyjnego QNAP zgłoszono podatność zapisu poza granicami bufora. Zdalny atakujący posiadający konto użytkownika może wykorzystać tę podatność do modyfikacji lub uszkodzenia pamięci.
Ocena ryzyka
Atakujący z kontem użytkownika może uszkodzić pamięć procesu, co może prowadzić do awarii lub potencjalnego wykonania kodu.
Rekomendacja
Zaktualizuj QTS do wersji 5.2.5.3145 build 20250526 lub nowszej, a QuTS hero do h5.2.5.3138 build 20250519 lub nowszej.
Inne podatności w QNAP QTS / QuTS hero
Zobacz wszystkie- CVE-2020-2509KrytyczneAktywnie exploitowane
Podatność typu command injection w systemach QTS oraz QuTS hero firmy QNAP. Wykorzystanie podatności pozwala atakującemu na wykonanie dowolnych poleceń w kontekście zaatakowanej aplikacji.
- CVE-2025-33032Średnie
W kilku wersjach systemu operacyjnego QNAP wykryto podatność typu path traversal. Jeśli zdalny atakujący uzyska konto administratora, może wykorzystać tę lukę do odczytu zawartości nieoczekiwanych plików lub danych systemowych.
- CVE-2025-30271Średnie
W kilku wersjach systemu operacyjnego QNAP wykryto podatność typu path traversal. Jeśli zdalny atakujący uzyska konto użytkownika, może wykorzystać tę lukę do odczytu zawartości nieoczekiwanych plików lub danych systemowych.
- CVE-2025-30270Średnie
W kilku wersjach systemu operacyjnego QNAP wykryto podatność typu path traversal. Jeśli zdalny atakujący uzyska konto użytkownika, może wykorzystać tę lukę do odczytu zawartości nieoczekiwanych plików lub danych systemowych.
- CVE-2025-30264Wysokie
Podatność na wstrzyknięcie poleceń została zgłoszona w kilku wersjach systemu operacyjnego QNAP. Zdalny atakujący, który uzyska konto użytkownika, może wykorzystać tę podatność do wykonania dowolnych poleceń.
Oryginalny opis (angielski, źródło NVD)
An out-of-bounds write vulnerability has been reported to affect several QNAP operating system versions. If a remote attacker gains a user account, they can then exploit the vulnerability to modify or corrupt memory. We have already fixed the vulnerability in the following versions: QTS 5.2.5.3145 build 20250526 and later QuTS hero h5.2.5.3138 build 20250519 and later
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS