QNAP Photo Station のパストラバーサルの脆弱性（CVE-2019-7194）

何が起きた

QNAP の NAS 向けアプリ Photo Station で、外から渡されたファイルの場所（パス）をそのまま使ってしまい、システムのファイルを見られたり書き換えられたりする弱点が見つかりました。NVD の評価では、ネットワーク経由で、ログインなしに悪用できます。この弱点は実際の攻撃での悪用が確認されており、ランサムウェアの攻撃に使われたことも知られています。QNAP は、同じ勧告で CVE-2019-7192、CVE-2019-7193、CVE-2019-7195 とあわせて修正しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

QNAP の NAS で Photo Station を使っている人・組織が対象です。CVE の記録では、QTS 4.4.1 では Photo Station 6.0.3 より前、QTS 4.3.4 から 4.4.0 では 5.7.10 より前、QTS 4.3.0 から 4.3.3 では 5.4.9 より前、QTS 4.2.6 では 5.2.11 より前が影響を受けます。

何をすればいい

QNAP の勧告に従い、Photo Station を最新版に更新してください。修正版は、QTS 4.4.1 では Photo Station 6.0.3 以降、QTS 4.3.4 から 4.4.0 では 5.7.10 以降、QTS 4.3.0 から 4.3.3 では 5.4.9 以降、QTS 4.2.6 では 5.2.11 以降です。QNAP は、QTS も機種ごとに使える最新版へ更新するよう強く勧めています。あわせて公式の案内を確認してください。

やることチェックリスト

• Photo Station を最新版に更新する
• QTS を機種で使える最新版に更新する
• Photo Station の版が修正版以降か確認する

用語メモ

NAS

ネットワークにつないで使う、ファイル保存用の機器です。家庭や会社でデータの共有やバックアップに使われます。

パス

ファイルがどのフォルダのどこにあるかを示す住所のような文字列です。

ランサムウェア

ファイルを暗号化して使えなくし、元に戻す代わりにお金を要求する悪質なプログラムです。