CVE-2025-47208
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
W kilku wersjach systemu QNAP występuje podatność polegająca na alokacji zasobów bez ograniczeń lub dławienia. Zdalny atakujący, który uzyska konto użytkownika, może wykorzystać tę lukę, aby uniemożliwić innym systemom, aplikacjom lub procesom dostęp do tego samego typu zasobu.
Ocena ryzyka
Atakujący może wyczerpać zasoby, powodując odmowę usługi dla innych systemów lub aplikacji. Wymaga to jednak posiadania konta użytkownika.
Rekomendacja
Zaktualizuj system QNAP do wersji QTS 5.2.6.3195 build 20250715 lub nowszej, albo QuTS hero h5.2.6.3195 build 20250715 lub nowszej.
Inne podatności w QNAP QTS/QuTS hero
Zobacz wszystkie- CVE-2020-2509KrytyczneAktywnie exploitowane
Podatność typu command injection w systemach QTS oraz QuTS hero firmy QNAP. Wykorzystanie podatności pozwala atakującemu na wykonanie dowolnych poleceń w kontekście zaatakowanej aplikacji.
- CVE-2025-57705Średnie
Podatność typu allocation of resources without limits or throttling w systemach QNAP może zostać wykorzystana przez zdalnego atakującego, który uzyska konto administratora, do uniemożliwienia innym systemom, aplikacjom lub procesom dostępu do tego samego typu zasobu. Producent naprawił podatność w wersjach QTS 5.2.7.3256 build 20250913 i nowszych oraz QuTS hero h5.2.7.3256 build 20250913 i h5.3.1.3250 build 20250912 i nowszych.
- CVE-2025-53596Średnie
W kilku wersjach systemu QNAP występuje podatność polegająca na dereferencji wskaźnika NULL. Zdalny atakujący, który uzyska konto administratora, może wykorzystać tę wadę do przeprowadzenia ataku typu odmowa usługi (DoS).
- CVE-2025-53593Średnie
W kilku wersjach systemu QNAP występuje podatność przepełnienia bufora. Zdalny atakujący z uprawnieniami administratora może wykorzystać tę wadę do modyfikacji pamięci lub awarii procesów.
- CVE-2025-53592Średnie
W kilku wersjach systemu QNAP występuje podatność polegająca na dereferencji wskaźnika NULL. Zdalny atakujący, który uzyska konto użytkownika, może wykorzystać tę lukę do przeprowadzenia ataku odmowy usługi (DoS).
- CVE-2025-53591Średnie
W kilku wersjach systemu QNAP występuje podatność związana z użyciem zewnętrznie kontrolowanego formatu ciągu. Zdalny atakujący, który uzyska konto administratora, może wykorzystać tę lukę do uzyskania poufnych danych lub modyfikacji pamięci.
- CVE-2025-53589Średnie
W kilku wersjach systemu QNAP występuje podatność polegająca na dereferencji wskaźnika NULL. Zdalny atakujący, który uzyska konto administratora, może wykorzystać tę wadę do przeprowadzenia ataku typu odmowa usługi (DoS).
- CVE-2025-53414Średnie
W kilku wersjach systemu QNAP występuje podatność polegająca na dereferencji wskaźnika NULL. Zdalny atakujący, który uzyska konto administratora, może wykorzystać tę wadę do przeprowadzenia ataku typu odmowa usługi (DoS).
- CVE-2025-53405Średnie
W kilku wersjach systemu QNAP występuje podatność polegająca na dereferencji wskaźnika NULL. Zdalny atakujący, który uzyska konto administratora, może wykorzystać tę wadę do przeprowadzenia ataku typu odmowa usługi (DoS).
- CVE-2025-52431Średnie
W kilku wersjach systemu QNAP występuje podatność polegająca na dereferencji wskaźnika NULL. Zdalny atakujący, który uzyska konto administratora, może wykorzystać tę wadę do przeprowadzenia ataku typu odmowa usługi (DoS).
Oryginalny opis (angielski, źródło NVD)
An allocation of resources without limits or throttling vulnerability has been reported to affect several QNAP operating system versions. If a remote attacker gains a user account, they can then exploit the vulnerability to prevent other systems, applications, or processes from accessing the same type of resource. We have already fixed the vulnerability in the following versions: QTS 5.2.6.3195 build 20250715 and later QuTS hero h5.2.6.3195 build 20250715 and later
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS