Kerngegevens
Simpel uitgelegd
Wat is er aan de hand?
In QuMagie, de fotoapp van QNAP, zit een fout waarmee een aanvaller bestanden of systeemgegevens kan lezen die niet bedoeld zijn om benaderbaar te zijn. Dit heet relatieve padtraversal: de app controleert onvoldoende welk bestandspad wordt opgevraagd. De fout is alleen te misbruiken met een beheerdersaccount. De leverancier heeft het lek verholpen.
Wie loopt risico?
Je loopt risico als je een QuMagie-versie vanaf 2.9.x tot 2.9.1 gebruikt. Een aanvaller moet eerst via het netwerk de beschikking krijgen over een beheerdersaccount, bijvoorbeeld doordat inloggegevens zijn buitgemaakt. Heeft niemand ongewenst toegang tot een beheerdersaccount, dan is het risico kleiner. Volgens de gegevens wordt het lek op dit moment niet actief misbruikt.
Wat moet je doen?
Controleer je versie
Kijk na welke versie van QuMagie je gebruikt. Versies vanaf 2.9.x tot 2.9.1 zijn getroffen.
Werk QuMagie bij
Installeer QuMagie 2.9.1 of nieuwer. Die versie lost het lek op. Meer informatie vind je in de release-opmerkingen van QNAP voor QuMagie.
Beperk toegang tot beheerdersaccounts
Controleer wie een beheerdersaccount heeft en gebruik sterke, unieke wachtwoorden. Zo wordt het lastiger voor een aanvaller om de voorwaarde voor misbruik te vervullen.
Beperk blootstelling aan internet
Zorg dat je QNAP-apparaat niet onnodig vanaf internet bereikbaar is, zolang je de update nog niet hebt geïnstalleerd.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een relatieve padtraversal (CWE-23) in QuMagie. Een aanvaller met beheerdersrechten kan via het netwerk een bestandspad opgeven dat uit de bedoelde map ontsnapt, waardoor onverwachte bestanden of systeemgegevens kunnen worden gelezen. De aanval vereist geen gebruikersinteractie en heeft een lage complexiteit, maar wel hoge rechten (PR:H). De CVSS 4.0-score van 8,6 is toegekend door de CNA en wijst op een grote impact op vertrouwelijkheid, integriteit en beschikbaarheid. Het probleem is opgelost in QuMagie 2.9.1.
CVSS-vector (versie 4.0, basisscore 8,6, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-23 · Relatieve padtraversal
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,5%
- Aanvalscode openbaar
- Nee