Kerngegevens
Simpel uitgelegd
Wat is er aan de hand?
In QuRouter, de routersoftware van QNAP, zit een zogeheten race condition van het type time-of-check time-of-use (TOCTOU). Daarbij verandert er iets tussen het moment dat het systeem iets controleert en het moment dat het dat gebruikt. Een aanvaller kan dat misbruiken om de beveiliging van het systeem te ondermijnen. Volgens de gegevens is er geen sprake van actief misbruik en is er geen openbare exploit bekend.
Wie loopt risico?
Je loopt risico als je een QNAP-router gebruikt met QuRouter vanaf versie 2.6.x tot 2.6.4.001. Volgens de gegevens gaat het om een aanval vanuit een aangrenzend netwerk, dus een aanvaller moet in de buurt van het apparaat in het netwerk zitten. Daarnaast is een handeling van een gebruiker nodig, al is die beperkt. Heb je al versie 2.6.4.001 of nieuwer, dan is dit lek opgelost.
Wat moet je doen?
Controleer je versie
Kijk na of je een QNAP-router met QuRouter gebruikt en welke versie erop draait. Versies vanaf 2.6.x tot 2.6.4.001 zijn getroffen.
Werk QuRouter bij
Installeer QuRouter 2.6.4.001 of nieuwer. QNAP heeft het lek in die versie opgelost. Meer informatie vind je in de releasenotes van QNAP.
Beperk de toegang tot je netwerk
Laat alleen vertrouwde apparaten en gebruikers op het netwerk van de router, zolang je nog niet hebt bijgewerkt.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een race condition van het type time-of-check time-of-use (CWE-367) in QuRouter. Tussen de controle van een toestand of voorwaarde en het gebruik ervan kan die toestand veranderen, waardoor de controle niet meer klopt. De CVSS 4.0-vector wijst op een aanvalsroute via een aangrenzend netwerk (AV:A) met lage complexiteit, zonder vereiste rechten en met beperkte gebruikersinteractie. De impact op vertrouwelijkheid, integriteit en beschikbaar van het getroffen systeem is hoog beoordeeld. De score van 7,5 komt van de CNA. QNAP heeft het probleem verholpen in QuRouter 2.6.4.001 en later.
CVSS-vector (versie 4.0, basisscore 7,5, bron: CNA)
CVSS:4.0/AV:A/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-367 · Race condition tussen controle en gebruik (TOCTOU)
- Aanvalsroute
- Vanaf hetzelfde netwerk
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee