CVE-2025-53591
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
W kilku wersjach systemu QNAP występuje podatność związana z użyciem zewnętrznie kontrolowanego formatu ciągu. Zdalny atakujący, który uzyska konto administratora, może wykorzystać tę lukę do uzyskania poufnych danych lub modyfikacji pamięci.
Ocena ryzyka
Atakujący z uprawnieniami administratora może uzyskać dostęp do tajnych danych lub uszkodzić pamięć, co może prowadzić do poważnych naruszeń bezpieczeństwa. Wymaga to jednak przejęcia konta administratora.
Rekomendacja
Zaktualizuj system QNAP do wersji QTS 5.2.7.3256 build 20250913 lub nowszej, QuTS hero h5.2.7.3256 build 20250913 lub nowszej, albo QuTS hero h5.3.1.3250 build 20250912 lub nowszej.
Inne podatności w QNAP QTS/QuTS hero
Zobacz wszystkie- CVE-2020-2509KrytyczneAktywnie exploitowane
Podatność typu command injection w systemach QTS oraz QuTS hero firmy QNAP. Wykorzystanie podatności pozwala atakującemu na wykonanie dowolnych poleceń w kontekście zaatakowanej aplikacji.
- CVE-2025-57705Średnie
Podatność typu allocation of resources without limits or throttling w systemach QNAP może zostać wykorzystana przez zdalnego atakującego, który uzyska konto administratora, do uniemożliwienia innym systemom, aplikacjom lub procesom dostępu do tego samego typu zasobu. Producent naprawił podatność w wersjach QTS 5.2.7.3256 build 20250913 i nowszych oraz QuTS hero h5.2.7.3256 build 20250913 i h5.3.1.3250 build 20250912 i nowszych.
- CVE-2025-53596Średnie
W kilku wersjach systemu QNAP występuje podatność polegająca na dereferencji wskaźnika NULL. Zdalny atakujący, który uzyska konto administratora, może wykorzystać tę wadę do przeprowadzenia ataku typu odmowa usługi (DoS).
- CVE-2025-53593Średnie
W kilku wersjach systemu QNAP występuje podatność przepełnienia bufora. Zdalny atakujący z uprawnieniami administratora może wykorzystać tę wadę do modyfikacji pamięci lub awarii procesów.
- CVE-2025-53592Średnie
W kilku wersjach systemu QNAP występuje podatność polegająca na dereferencji wskaźnika NULL. Zdalny atakujący, który uzyska konto użytkownika, może wykorzystać tę lukę do przeprowadzenia ataku odmowy usługi (DoS).
- CVE-2025-53589Średnie
W kilku wersjach systemu QNAP występuje podatność polegająca na dereferencji wskaźnika NULL. Zdalny atakujący, który uzyska konto administratora, może wykorzystać tę wadę do przeprowadzenia ataku typu odmowa usługi (DoS).
- CVE-2025-53414Średnie
W kilku wersjach systemu QNAP występuje podatność polegająca na dereferencji wskaźnika NULL. Zdalny atakujący, który uzyska konto administratora, może wykorzystać tę wadę do przeprowadzenia ataku typu odmowa usługi (DoS).
- CVE-2025-53405Średnie
W kilku wersjach systemu QNAP występuje podatność polegająca na dereferencji wskaźnika NULL. Zdalny atakujący, który uzyska konto administratora, może wykorzystać tę wadę do przeprowadzenia ataku typu odmowa usługi (DoS).
- CVE-2025-52431Średnie
W kilku wersjach systemu QNAP występuje podatność polegająca na dereferencji wskaźnika NULL. Zdalny atakujący, który uzyska konto administratora, może wykorzystać tę wadę do przeprowadzenia ataku typu odmowa usługi (DoS).
- CVE-2025-47208Średnie
W kilku wersjach systemu QNAP występuje podatność polegająca na alokacji zasobów bez ograniczeń lub dławienia. Zdalny atakujący, który uzyska konto użytkownika, może wykorzystać tę lukę, aby uniemożliwić innym systemom, aplikacjom lub procesom dostęp do tego samego typu zasobu.
Oryginalny opis (angielski, źródło NVD)
A use of externally-controlled format string vulnerability has been reported to affect several QNAP operating system versions. If a remote attacker gains an administrator account, they can then exploit the vulnerability to obtain secret data or modify memory. We have already fixed the vulnerability in the following versions: QTS 5.2.7.3256 build 20250913 and later QuTS hero h5.2.7.3256 build 20250913 and later QuTS hero h5.3.1.3250 build 20250912 and later
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS