Kerngegevens
Simpel uitgelegd
Wat is er aan de hand?
In QuMagie, de foto-app van QNAP, zit een lek waarbij de software symbolische koppelingen (symlinks) volgt. Een symlink is een snelkoppeling naar een ander bestand of een andere map. Een aanvaller die al een gebruikersaccount heeft, kan dit misbruiken om de beveiliging van het systeem te ondermijnen.
Wie loopt risico?
Je loopt risico als je QuMagie gebruikt in een versie vanaf 2.9.x tot 2.9.2. De aanval kan via het netwerk plaatsvinden, maar de aanvaller heeft wel eerst een geldig gebruikersaccount nodig. Het risico is dus het grootst als accounts zwak beveiligd zijn of door veel mensen worden gebruikt. Uit de gegevens blijkt niet dat het lek actief wordt misbruikt.
Wat moet je doen?
Werk QuMagie bij
Installeer QuMagie 2.9.2 of nieuwer. In die versie heeft QNAP het lek opgelost.
Controleer je versie
Kijk na welke versie van QuMagie je gebruikt. Zit die vanaf 2.9.x tot 2.9.2, dan is je installatie kwetsbaar.
Beperk de toegang tot accounts
Controleer welke gebruikersaccounts toegang hebben tot QuMagie. Verwijder accounts die je niet meer nodig hebt en gebruik sterke wachtwoorden.
Volg de release-opmerkingen van QNAP
Op de pagina met release-opmerkingen van QuMagie op de site van QNAP lees je meer over de opgeloste versie.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek valt onder CWE-61, het onjuist volgen van symbolische koppelingen (UNIX symlink following). De software controleert niet goed waar een symlink naartoe wijst voordat het bestand wordt benaderd. Een aanvaller met een gebruikersaccount kan daardoor mogelijk bestanden of mappen buiten de bedoelde locatie bereiken. De aanval verloopt via het netwerk, vraagt geen gebruikersinteractie en heeft weinig complexiteit. De CVSS 4.0-score van 9,4 komt van de CNA en geeft een grote impact op vertrouwelijkheid, integriteit en beschikbaarheid. QNAP heeft het lek verholpen in QuMagie 2.9.2.
CVSS-vector (versie 4.0, basisscore 9,4, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-61 · Onjuiste volging van symbolische koppelingen (symlink following)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,5%
- Aanvalscode openbaar
- Nee