CVE-2025-9110
WysokieStreszczenie
Podatność polegająca na ujawnieniu wrażliwych informacji systemowych nieupoważnionej sferze kontroli dotyczy kilku wersji systemów operacyjnych QNAP. Zdalny atakujący może wykorzystać tę podatność do odczytu danych aplikacji. Poprawki zostały wydane w wersjach QTS 5.2.8.3332 build 20251128 i nowszych oraz QuTS hero h5.2.8.3321 build 20251117 i nowszych, a także QuTS hero h5.3.1.3250 build 20250912 i nowszych.
Ocena ryzyka
Atakujący może uzyskać dostęp do wrażliwych danych aplikacji, co może prowadzić do naruszenia poufności i integralności systemu.
Rekomendacja
Zaleca się aktualizację systemu QNAP do jednej z wymienionych wersji zawierających poprawkę, aby wyeliminować podatność.
Inne podatności w QNAP OS
Zobacz wszystkie- CVE-2025-52872Wysokie
W systemach operacyjnych QNAP występuje podatność na przepełnienie bufora. Jeśli zdalny atakujący uzyska konto użytkownika, może wykorzystać tę podatność do modyfikacji pamięci lub spowodowania awarii procesów.
- CVE-2025-52864Wysokie
W systemach operacyjnych QNAP występuje podatność na przepełnienie bufora. Jeśli zdalny atakujący uzyska konto użytkownika, może wykorzystać tę podatność do modyfikacji pamięci lub spowodowania awarii procesów.
- CVE-2025-52863Wysokie
W systemach operacyjnych QNAP występuje podatność na przepełnienie bufora. Jeśli zdalny atakujący uzyska konto użytkownika, może wykorzystać tę podatność do modyfikacji pamięci lub spowodowania awarii procesów.
- CVE-2025-62849Krytyczne
Podatność SQL injection została zgłoszona w kilku wersjach systemów operacyjnych QNAP. Zdalni atakujący mogą wykorzystać tę podatność do wykonania nieautoryzowanego kodu lub poleceń. Poprawki zostały już wydane w wersjach QTS 5.2.7.3297 build 20251024 i nowszych, QuTS hero h5.2.7.3297 build 20251024 i nowszych oraz QuTS hero h5.3.1.3292 build 20251024 i nowszych.
- CVE-2025-59385Krytyczne
Podatność obejścia uwierzytelniania przez spoofing została zgłoszona w kilku wersjach systemów operacyjnych QNAP. Zdalni atakujący mogą wykorzystać tę podatność do uzyskania dostępu do zasobów, które nie są dostępne bez odpowiedniego uwierzytelnienia. Poprawki zostały już wydane w wersjach QTS 5.2.7.3297 build 20251024 i nowszych, QuTS hero h5.2.7.3297 build 20251024 i nowszych oraz QuTS hero h5.3.1.3292 build 20251024 i nowszych.
- CVE-2026-24716Wysokie
Podatność polegająca na dereferencji wskaźnika NULL w systemach operacyjnych QNAP. Zdalny atakujący z kontem administratora może wykorzystać tę lukę do przeprowadzenia ataku typu DoS (odmowa usługi).
- CVE-2025-66281Wysokie
W systemach operacyjnych QNAP (QTS i QuTS hero) wykryto podatność na dereferencję wskaźnika NULL. Zdalny atakujący może wykorzystać tę podatność do przeprowadzenia ataku typu DoS (odmowa usługi).
- CVE-2025-66280Wysokie
Podatność przepełnienia liczb całkowitych (integer overflow) została zgłoszona w kilku wersjach systemów operacyjnych QNAP. Jeśli zdalny atakujący uzyska konto administratora, może wykorzystać tę podatność do naruszenia bezpieczeństwa systemu. Problem został naprawiony w wersjach: QTS 5.2.9.3410 build 20260214 i nowszych, QuTS hero h5.2.9.3410 build 20260214 i nowszych, QuTS hero h5.3.4.3500 build 20260520 i nowszych, QuTS hero h6.0.0.3397 build 20260206 i nowszych.
- CVE-2025-66279Wysokie
Podatność na wstrzykiwanie poleceń w systemach operacyjnych QNAP. Zdalny atakujący z kontem administratora może wykonać dowolne polecenia.
- CVE-2025-66273Wysokie
Podatność na wstrzykiwanie poleceń w systemach operacyjnych QNAP. Zdalny atakujący z kontem administratora może wykonać dowolne polecenia.
Oryginalny opis (angielski, źródło NVD)
An exposure of sensitive system information to an unauthorized control sphere vulnerability has been reported to affect several QNAP operating system versions. The remote attackers can then exploit the vulnerability to read application data. We have already fixed the vulnerability in the following versions: QTS 5.2.8.3332 build 20251128 and later QuTS hero h5.2.8.3321 build 20251117 and later QuTS hero h5.3.1.3250 build 20250912 and later