• ひとことでQNAP の Helpdesk アプリで、利用の許可の確認が甘い弱点です。
  • 深刻度9.8 緊急CVSS v3.1
  • まずやることHelpdesk のバージョンを確認する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2020-2506
製品QNAP Systems Helpdesk
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2022-03-25
米国政府機関の対応期限2022-04-15
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-284（アクセス制御の不備）

何が起きた

QNAP の NAS で使うアプリ Helpdesk に、利用の許可（アクセス制御）を正しく確認しない弱点が見つかり、実際に悪用が確認されています。悪用されると、攻撃者が権限を得たり、大事な情報を読んだりできる可能性があります。NVD の評価では、攻撃者はネットワーク経由で、ログインなしに、利用者の操作も必要とせずに攻撃できます。

誰が影響を受ける

QNAP の NAS（QTS）で Helpdesk アプリを使っている人・組織が対象です。影響を受けるのは Helpdesk の 3.0.3 より前のバージョンです。

何をすればいい

Helpdesk を 3.0.3 以降に更新されているか確認してください。QNAP は 3.0.3 以降のバージョンでこの問題を直したとしています。あわせて、QNAP の公式の案内を確認してください。

やることチェックリスト

  • Helpdesk のバージョンを確認する
  • Helpdesk を 3.0.3 以降に更新する
  • NAS に Helpdesk が入っているか確認する

用語メモ

アクセス制御 用語集で見る
誰がどの機能や情報を使ってよいかを決めて、許可のない人を止める仕組みです。
NAS 用語集で見る
ネットワークにつないで使うファイル保存用の機器です。家庭や会社でデータの共有や保管に使われます。
QTS
QNAP の NAS で動く基本ソフト（OS）です。

次に読む

基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

QNAP Helpdesk Improper Access Control Vulnerability

概要

QNAP Helpdesk contains an improper access control vulnerability which could allow an attacker to gain privileges or to read sensitive information.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る