QNAP Network Attached Storage (NAS) のコマンドインジェクションの脆弱性（CVE-2018-19949）

何が起きた

QNAP の NAS（ネットワークにつなぐファイル保管用の機器）の File Station に、コマンドインジェクションの弱点が見つかりました。悪用されると、離れた場所の攻撃者が任意の（攻撃者が好きに選べる）命令を実行できる可能性があります。NVD の評価では、ネットワーク経由で、ログイン不要、利用者の操作も不要で悪用できます。実際に悪用が確認されており、ランサムウェアでの悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

QNAP の NAS を使っている人・組織が対象です。CVE の記録と NVD の説明によると、修正済みの QTS（NAS の基本ソフト）は QTS 4.4.2.1231、QTS 4.4.1.1201、QTS 4.3.6.1218、QTS 4.3.4.1190、QTS 4.3.3.1161、QTS 4.2.6 の各版（各ビルド）で、それより古い版が影響を受けます。一方、この弱点を含む QNAP の勧告 QSA-20-01 は、修正版として QTS 4.4.2.1270、QTS 4.4.1.1261、QTS 4.3.6.1263、QTS 4.3.4.1282、QTS 4.3.3.1252、QTS 4.2.6（build 20200421）の各版以降を挙げています。

何をすればいい

QNAP の勧告 QSA-20-01 は、QTS を最新の版に更新するようすすめています。使っている系列の、勧告に載っている修正版（たとえば QTS 4.4.2.1270 など）以降、できれば機種ごとの最新の QTS に更新し、QNAP の公式の案内を確認してください。ランサムウェアでの悪用が知られているため、早めの対応が大切です。

やることチェックリスト

• NAS の QTS の版を確認する
• QTS を機種ごとの最新の版に更新する
• 更新後に QTS の版が修正版になったか確認する

用語メモ

NAS

ネットワークにつないで、複数のパソコンからファイルを保存・共有できる機器です。

コマンドインジェクション

外から送り込んだ文字列を、機器が命令として実行してしまう弱点です。

QTS

QNAP の NAS を動かしている基本ソフト（OS）です。

ランサムウェア

ファイルを使えなくして、元に戻す代わりに身代金を求める不正なプログラムです。