QNAP QTS の脆弱性（CVE-2019-7193）

何が起きた

QNAP の NAS を動かす OS の QTS で、外から受け取ったデータを正しく確かめないため、攻撃者が任意の（攻撃者が好きに選べる）コードをシステムに送り込める弱点が見つかりました。NVD の評価では、ネットワーク経由で、ログインなしに悪用できます。この弱点は実際の攻撃での悪用が確認されており、ランサムウェアの攻撃に使われたことも知られています。QNAP は、同じ勧告で CVE-2019-7192、CVE-2019-7194、CVE-2019-7195 とあわせて修正しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

QNAP の NAS を使っている人・組織が対象です。CVE の記録では、QTS 4.4.0 から 4.4.1 の build 20190918 より前と、QTS 4.3.6 の build 20190919 より前が影響を受けます。

何をすればいい

QNAP の勧告に従い、QTS を更新してください。修正版は、QTS 4.4.1 の build 20190918 以降と、QTS 4.3.6 の build 20190919 以降です。QNAP は、QTS を機種ごとに使える最新版にし、Photo Station も最新版に更新するよう勧めています。あわせて公式の案内を確認してください。

やることチェックリスト

• QTS を機種で使える最新版に更新する
• QTS の build が修正版以降か確認する
• Photo Station も最新版に更新する

用語メモ

NAS

ネットワークにつないで使う、ファイル保存用の機器です。家庭や会社でデータの共有やバックアップに使われます。

OS

機器を動かす土台となる基本のソフトウェアです。

ランサムウェア

ファイルを暗号化して使えなくし、元に戻す代わりにお金を要求する悪質なプログラムです。