QNAP · Network Attached Storage (NAS)

CVE-2018-19949

QNAP NAS File Station Command Injection Vulnerability

已被用于攻击被勒索软件利用严重 9.8 受攻击概率：30%

这是什么

If exploited, this command injection vulnerability could allow remote attackers to run arbitrary commands. QNAP has already fixed the issue in the following QTS versions. QTS 4.4.2.1231 on build 20200302; QTS 4.4.1.1201 on build 20200130; QTS 4.3.6.1218 on build 20200214; QTS 4.3.4.1190 on build 20200107; QTS 4.3.3.1161 on build 20200109; QTS 4.2.6 on build 20200109.

CISA: A command injection vulnerability affecting QNAP NAS File Station could allow remote attackers to run commands.

该怎么做

Apply updates per vendor instructions.

美国联邦机构的修复期限：2022年6月14日

加入 CISA 列表: 2022年5月24日
发布日期: 2020年10月28日
严重程度: 严重 9.8 CVSS 3.1
未来 30 天遭受攻击的概率（EPSS）: 30% 位列所有已知漏洞的前 1.8%
弱点类型: CWE-20 CWE-77 CWE-78
更多详情: NVD · CVE.org · CISA

全部参考链接（1）

https://www.qnap.com/zh-tw/security-advisory/qsa-20-01

QNAP 的其他被利用漏洞

加入日期	漏洞	产品	严重程度	受攻击概率
2022年5月24日	NAS File Station Cross-Site ScriptingCVE-2018-19943被勒索软件利用	Network Attached Storage (NAS)	高 8.0	23%
2022年5月24日	NAS File Station Cross-Site ScriptingCVE-2018-19953被勒索软件利用	Network Attached Storage (NAS)	中 6.1	31%
2022年3月31日	NAS Improper AuthorizationCVE-2021-28799被勒索软件利用	Network Attached Storage (NAS)	严重 10.0	78%
2023年12月21日	OS Command InjectionCVE-2023-47565	VioStor NVR	高 8.0	73%
2022年9月8日	Externally Controlled ReferenceCVE-2022-27593被勒索软件利用	Photo Station	严重 10.0	88%
2022年6月8日	Improper Access ControlCVE-2019-7192被勒索软件利用	Photo Station	严重 9.8	88%
2022年6月8日	Improper Input ValidationCVE-2019-7193被勒索软件利用	QTS	严重 9.8	14%
2022年6月8日	Path TraversalCVE-2019-7194被勒索软件利用	Photo Station	严重 9.8	83%

全部 →

来源：Known Exploited Vulnerabilities（CISA，公有领域）、CVE records（cve.org）和 EPSS（FIRST）。受攻击概率是 EPSS 对未来 30 天内有人尝试利用该漏洞的估计。