QNAP Network Attached Storage (NAS) の認可の不備の脆弱性（CVE-2021-28799）

何が起きた

QNAP の NAS（ネットワークにつなぐ記憶装置）で動くバックアップ用アプリ HBS 3（Hybrid Backup Sync）に、権限の確認が不十分な弱点が見つかりました。悪用されると、遠隔の攻撃者が機器にログインできてしまいます。ネットワーク経由で、ログイン不要の攻撃者が悪用できるとされています。CISA は実際の悪用を確認しており、ランサムウェアでの悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

HBS 3 を入れた QNAP の NAS を使っている人や組織が対象です。QTS 4.5.2 では v16.0.0415 より前、QTS 4.3.6 では v3.0.210412 より前、QTS 4.3.4 と 4.3.3 では v3.0.210411 より前、QuTS hero h4.5.1 と QuTScloud c4.5.1~c4.5.4 では v16.0.0419 より前が対象です。HBS 2 と HBS 1.3 は影響を受けません。

何をすればいい

QNAP は HBS 3 を最新のバージョンに更新するよう勧めています。管理者として App Center から更新し、使っている OS に合わせて、たとえば QTS 4.5.2 なら v16.0.0415 以降になっているか確認してください。QNAP のセキュリティ情報（公式の案内）も確認してください。

やることチェックリスト

• App Center で HBS 3 を最新版に更新する
• QTS 4.5.2 なら v16.0.0415 以降か確かめる
• QuTS hero は v16.0.0419 以降か確かめる

用語メモ

NAS

ネットワークにつないで、複数のパソコンからファイルを保存・共有できる記憶装置のことです。

ランサムウェア

データを暗号化して使えなくし、元に戻す代わりに身代金を要求する不正なプログラムです。

App Center

QNAP の NAS で、アプリの追加や更新を行うための画面です。