QNAP Photo Station の脆弱性（CVE-2022-27593）

何が起きた

QNAP の NAS で動く Photo Station に、外から指定された参照先をそのまま使ってしまう弱点が見つかりました。悪用されると、攻撃者がシステムのファイルを書き換えられるおそれがあります。インターネットに公開された NAS を狙う Deadbolt というランサムウェアの攻撃で、実際に悪用が確認されています。NVD の評価では、ネットワーク経由で、ログイン不要、利用者の操作なしに悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Photo Station を入れて、インターネットからつながる状態にしている QNAP の NAS が対象です。QTS 5.0.1 では Photo Station 6.1.2 より前、QTS 5.0.0 と 4.5.x では 6.0.22 より前、QTS 4.3.6 では 5.7.18 より前、QTS 4.3.3 では 5.4.15 より前、QTS 4.2.6 では 5.2.14 より前が影響を受けます。

何をすればいい

お使いの QTS に合わせて、Photo Station を 6.1.2 以降、6.0.22 以降、5.7.18 以降、5.4.15 以降、5.2.14 以降のいずれかに更新してください。QNAP は、ルーターのポート転送を無効にし、myQNAPcloud を設定してインターネットに直接さらさないこと、NAS のファームウェアとアプリを最新にすること、強いパスワードと定期的なスナップショットやバックアップも勧めています。くわしくは QNAP の公式の案内（QSA-22-24）を確認してください。

やることチェックリスト

• Photo Stationを修正版に更新する
• ルーターのポート転送を無効にする
• スナップショットとバックアップを定期的に取る

用語メモ

NAS

ネットワークにつないで使う、ファイル保存用の機器です。

ランサムウェア

データを使えない状態にして、元に戻す代わりにお金を要求する不正なプログラムです。

ポート転送

ルーターに届いた外からの通信を、家や会社の中の機器へ通す設定です。

スナップショット

ある時点のデータの状態を記録しておき、あとで戻せるようにする機能です。