Kerngegevens
Simpel uitgelegd
Wat is er aan de hand?
In Qsirch, de zoekapplicatie van QNAP, zit een path traversal-lek. Daarbij kan een aanvaller via een speciaal samengesteld pad bij bestanden komen die niet bedoeld zijn om open te staan. Een aanvaller op afstand kan zo de inhoud van onverwachte bestanden of systeemdata lezen.
Wie loopt risico?
Je loopt risico als je Qsirch gebruikt in een versie vanaf 7.0.x die ouder is dan 7.0.3.0. De aanval kan via het netwerk, zonder inloggegevens en zonder dat een gebruiker iets hoeft te doen. Het risico is groter als je QNAP-apparaat bereikbaar is vanaf internet. Het lek staat niet op de lijst van actief misbruikte lekken.
Wat moet je doen?
Controleer of je Qsirch gebruikt
Kijk op je QNAP-apparaat of Qsirch is geïnstalleerd en welke versie het is.
Werk Qsirch bij
Installeer Qsirch 7.0.3.0 of nieuwer. Deze versie lost het lek op volgens QNAP.
Lees de release notes
Raadpleeg de release notes van Qsirch op de site van QNAP voor details over de update.
Beperk de blootstelling
Zorg dat je QNAP-apparaat niet onnodig vanaf internet bereikbaar is, zolang je nog niet hebt bijgewerkt.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een path traversal-kwetsbaarheid (CWE-22) in Qsirch. De invoer voor bestandspaden wordt onvoldoende beperkt, waardoor een aanvaller buiten de bedoelde map kan komen. Een aanvaller op afstand kan zo bestanden of systeemdata lezen die niet bedoeld zijn om toegankelijk te zijn. De aanval verloopt via het netwerk, is weinig complex en vereist geen rechten en geen gebruikersinteractie. De CNA geeft een CVSS 4.0-score van 9,3. QNAP heeft het lek verholpen in Qsirch 7.0.3.0.
CVSS-vector (versie 4.0, basisscore 9,3, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-22 · Onjuiste beperking van een pad naar een beperkte map (path traversal)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,6%
- Aanvalscode openbaar
- Nee