QNAP QNAP Network-Attached Storage (NAS) のコマンドインジェクションの脆弱性（CVE-2020-2509）

何が起きた

QNAP の NAS（ネットワークにつなぐファイル保存用の機器）で動く QTS と QuTS hero に、外から送った内容がそのまま命令として実行されてしまう弱点（コマンドインジェクション）が見つかりました。悪用されると、攻撃者が任意の（好きに選べる）コマンドを実行できます。実際の攻撃での悪用が確認されています。NVD の評価では、ログインしていない攻撃者がネットワーク経由で悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

QNAP の NAS を QTS または QuTS hero で使っている人・組織が対象です。修正版より前の QTS 4.5.2、4.5.1、4.3.6、4.3.4、4.3.3、4.2.6 の各系統と、QuTS hero h4.5.1 系が影響を受けます。

何をすればいい

QTS を次の版以降に更新しているか確認してください。QTS 4.5.2.1566 Build 20210202、QTS 4.5.1.1495 Build 20201123、QTS 4.3.6.1620 Build 20210322、QTS 4.3.4.1632 Build 20210324、QTS 4.3.3.1624 Build 20210416、QTS 4.2.6 Build 20210327 です。QuTS hero は h4.5.1.1491 build 20201119 以降にしてください。QNAP のセキュリティ情報で公式の案内も確認してください。

やることチェックリスト

• NAS の QTS や QuTS hero の版を確かめる
• QTS 4.5.2.1566 Build 20210202 以降に更新する
• QuTS hero は h4.5.1.1491 build 20201119 以降にする

用語メモ

NAS

ネットワークにつないで、複数の機器からファイルを保存・共有できる機器です。

コマンドインジェクション

入力に命令を紛れ込ませ、機器にその命令を実行させてしまう攻撃や弱点です。