QNAP · Network Attached Storage (NAS)

CVE-2018-19949

QNAP NAS File Station Command Injection Vulnerability

Explotada en ataques Usada por ransomware Crítica 9,8 Probabilidad de ataque: 30%

Qué es

If exploited, this command injection vulnerability could allow remote attackers to run arbitrary commands. QNAP has already fixed the issue in the following QTS versions. QTS 4.4.2.1231 on build 20200302; QTS 4.4.1.1201 on build 20200130; QTS 4.3.6.1218 on build 20200214; QTS 4.3.4.1190 on build 20200107; QTS 4.3.3.1161 on build 20200109; QTS 4.2.6 on build 20200109.

CISA: A command injection vulnerability affecting QNAP NAS File Station could allow remote attackers to run commands.

Qué hacer

Apply updates per vendor instructions.

Plazo para las agencias federales de EE. UU.: 14 de junio de 2022

Añadida a la lista de CISA: 24 de mayo de 2022
Publicada: 28 de octubre de 2020
Gravedad: Crítica 9,8 CVSS 3.1
Probabilidad de ataques en los próximos 30 días (EPSS): 30% entre el 1,8% superior de todas las vulnerabilidades conocidas
Debilidad: CWE-20 CWE-77 CWE-78
Más detalles: NVD · CVE.org · CISA

Todas las referencias (1)

https://www.qnap.com/zh-tw/security-advisory/qsa-20-01

Más fallos explotados de QNAP

Añadido	Vulnerabilidad	Producto	Gravedad	Prob. de ataque
24 may 2022	NAS File Station Cross-Site ScriptingCVE-2018-19943usado por ransomware	Network Attached Storage (NAS)	Alto 8,0	23%
24 may 2022	NAS File Station Cross-Site ScriptingCVE-2018-19953usado por ransomware	Network Attached Storage (NAS)	Media 6,1	31%
31 mar 2022	NAS Improper AuthorizationCVE-2021-28799usado por ransomware	Network Attached Storage (NAS)	Crítica 10,0	78%
21 dic 2023	OS Command InjectionCVE-2023-47565	VioStor NVR	Alto 8,0	73%
8 sept 2022	Externally Controlled ReferenceCVE-2022-27593usado por ransomware	Photo Station	Crítica 10,0	88%
8 jun 2022	Improper Access ControlCVE-2019-7192usado por ransomware	Photo Station	Crítica 9,8	88%
8 jun 2022	Improper Input ValidationCVE-2019-7193usado por ransomware	QTS	Crítica 9,8	14%
8 jun 2022	Path TraversalCVE-2019-7194usado por ransomware	Photo Station	Crítica 9,8	83%

Todas →

Fuentes: Known Exploited Vulnerabilities (CISA, dominio público), CVE records (cve.org) y EPSS (FIRST). La probabilidad de ataque es la estimación EPSS de que alguien intente explotar el fallo en los próximos 30 días.