QNAP Photo Station の認可の不備の脆弱性（CVE-2019-7192）

何が起きた

QNAP の NAS 向けアプリ Photo Station で、誰に何を許すかの確認（アクセス制御）が正しくなく、攻撃者が許可なくシステムに入り込める弱点が見つかりました。NVD の評価では、ネットワーク経由で、ログインなしに悪用できます。この弱点は実際の攻撃での悪用が確認されており、ランサムウェアの攻撃に使われたことも知られています。QNAP は、同じ勧告で CVE-2019-7193、CVE-2019-7194、CVE-2019-7195 とあわせて修正しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

QNAP の NAS で Photo Station を使っている人・組織が対象です。CVE の記録では、QTS 4.4.1 では Photo Station 6.0.3 より前、QTS 4.3.4 から 4.4.0 では 5.7.10 より前、QTS 4.3.0 から 4.3.3 では 5.4.9 より前、QTS 4.2.6 では 5.2.11 より前が影響を受けます。

何をすればいい

QNAP の勧告に従い、Photo Station を最新版に更新してください。修正版は、QTS 4.4.1 では Photo Station 6.0.3 以降、QTS 4.3.4 から 4.4.0 では 5.7.10 以降、QTS 4.3.0 から 4.3.3 では 5.4.9 以降、QTS 4.2.6 では 5.2.11 以降です。QNAP は、QTS も機種ごとに使える最新版へ更新するよう強く勧めています。あわせて公式の案内を確認してください。

やることチェックリスト

• Photo Station を最新版に更新する
• QTS を機種で使える最新版に更新する
• Photo Station の版が修正版以降か確認する

用語メモ

NAS

ネットワークにつないで使う、ファイル保存用の機器です。家庭や会社でデータの共有やバックアップに使われます。

アクセス制御

誰がどの機能やデータを使ってよいかを決めて、守るしくみです。

ランサムウェア

ファイルを暗号化して使えなくし、元に戻す代わりにお金を要求する悪質なプログラムです。