QNAP Network Attached Storage (NAS) のクロスサイトスクリプティングの脆弱性（CVE-2018-19953）

何が起きた

QNAP の NAS（ネットワークにつなぐ記憶装置）にある File Station という機能に、クロスサイトスクリプティングの弱点が見つかりました。悪用されると、離れた場所の攻撃者が悪いコードを埋め込めます。ログインは不要ですが、利用者の操作が必要とされています。実際に悪用されたことが確認されており、ランサムウェアの攻撃に使われたことも分かっています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

QNAP の NAS を使っている人・組織です。QNAP の案内では、すべての QNAP NAS が対象です。修正版の番号は出典で食い違っており、NVD は QTS 4.4.2.1231（build 20200302）などを、QNAP の案内は QTS 4.4.2.1270（build 20200410）以降などを挙げています。

何をすればいい

QNAP は、QTS を最新版に更新するようすすめています。QNAP の案内に載っている修正版は、QTS 4.4.2.1270、4.4.1.1261、4.3.6.1263、4.3.4.1282、4.3.3.1252 と 4.2.6（build 20200421）の各ビルド以降です。更新は、管理者で QTS にログインし、コントロールパネルのファームウェア更新から行えます。公式の案内を確認してください。

やることチェックリスト

• NAS の QTS の版を調べる
• QTS を最新版に更新する
• ファームウェア更新で更新の有無を確かめる

用語メモ

NAS

ネットワークにつないで、複数の人やパソコンでファイルを共有できる記憶装置です。

クロスサイトスクリプティング

Web ページに悪いスクリプトを埋め込み、見た人のブラウザーで動かす攻撃のことです。

QTS

QNAP の NAS を動かすための基本ソフト（OS）です。