QNAP Network Attached Storage (NAS) のクロスサイトスクリプティングの脆弱性（CVE-2018-19943）

何が起きた

QNAP の NAS（ネットワークにつなぐファイル保管用の機器）の File Station に、クロスサイトスクリプティングの弱点が見つかりました。悪用されると、離れた場所の攻撃者が悪意のあるコードを埋め込める可能性があります。NVD の評価では、ネットワーク経由で、一般利用者程度の権限を持つ攻撃者が悪用でき、被害者の操作（クリックなど）が必要です。実際に悪用が確認されており、ランサムウェアでの悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

QNAP の NAS を使っている人・組織が対象です。QNAP の勧告 QSA-20-01 によると、修正済みの QTS（NAS の基本ソフト）は QTS 4.4.2.1270、QTS 4.4.1.1261、QTS 4.3.6.1263、QTS 4.3.4.1282、QTS 4.3.3.1252、QTS 4.2.6（build 20200421）の各版以降で、それより古い版が影響を受けます。

何をすればいい

QTS を、使っている系列の修正版（たとえば QTS 4.4.2.1270 など）以降、できれば機種ごとの最新の QTS に更新し、QNAP の公式の案内を確認してください。勧告 QSA-20-01 は、QTS を最新の版に更新するようすすめています。被害者の操作が必要なため、知らない相手から届いたリンクを開かないことも大切です。

やることチェックリスト

• NAS の QTS の版を確認する
• QTS を機種ごとの最新の版に更新する
• 知らない相手から届いたリンクを開かないようにする

用語メモ

NAS

ネットワークにつないで、複数のパソコンからファイルを保存・共有できる機器です。

クロスサイトスクリプティング

Web ページに悪意のあるスクリプトを紛れ込ませ、見た人のブラウザーで動かしてしまう弱点です。

QTS

QNAP の NAS を動かしている基本ソフト（OS）です。