BDU:2022-04206 (CVE-2021-44052) — уязвимость операционной системы QTS, операционной системы QuTS hero
По данным БДУ ФСТЭК России, по состоянию на 08.07.2022.
Высокий — 8.1/10 Устранена
Уязвимость операционной системы QTS, операционной системы QuTS hero связана с некорректным определением ссылки перед доступом к файлу. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность целостность информации
Кого касается и что делать
- Уязвимое ПО: QuTS hero (QNAP Systems) — версии до h4.5.4.1771, от h5.0.0.1772 до h5.0.0.1986; QTS (QNAP Systems) — версии 4.2.6build 20170517, 4.2.6build 20190322, 4.2.6build 20190730, 4.2.6build 20190921, 4.2.6build 20191107, 4.2.6build 20200109, 4.2.6build 20200421, 4.2.6build 20200611, от 5.0.0.1716 до 5.0.0.1986, от 4.4.0.0883 до 4.5.4.1991, от 4.3.6.0895 до 4.3.6.1965, от 4.3.4.0899 до 4.3.4.1976, от 4.3.3.0174 до 4.3.3.1945, 4.2.6build 20210327, 4.2.6build 20211215; QuTScloud (QNAP Systems) — версии до c5.0.1.1998
- Что делать: уязвимость устранена производителем — применить исправления: www.qnap.com
Сведения об уязвимости
| Идентификаторы | BDU:2022-04206 · CVE-2021-44052 |
| Уровень опасности | Высокий (базовая оценка CVSS 3.1 — 8.1; CVSS 2.0 — 8.5) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, нужны права пользователя, без участия пользователя, высокое влияние на конфиденциальность и целостность |
| Наименование ФСТЭК | Уязвимость операционной системы QTS, операционной системы QuTS hero, связанная с некорректным определением ссылки перед доступом к файлу, позволяющая нарушителю оказать воздействие на конфиденциальность целостность информации |
| Даты | Опубликована: 08.07.2022 · Обновлена ФСТЭК: 08.07.2022 · Выявлена: 05.05.2022 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-59 — неверное определение ссылки перед доступом к файлу |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: манипулирование ресурсами |
Уязвимое ПО
- QuTS hero (QNAP Systems) — версии до h4.5.4.1771, от h5.0.0.1772 до h5.0.0.1986 · операционная система
- QTS (QNAP Systems) — версии 4.2.6build 20170517, 4.2.6build 20190322, 4.2.6build 20190730, 4.2.6build 20190921, 4.2.6build 20191107, 4.2.6build 20200109, 4.2.6build 20200421, 4.2.6build 20200611, от 5.0.0.1716 до 5.0.0.1986, от 4.4.0.0883 до 4.5.4.1991, от 4.3.6.0895 до 4.3.6.1965, от 4.3.4.0899 до 4.3.4.1976, от 4.3.3.0174 до 4.3.3.1945, 4.2.6build 20210327, 4.2.6build 20211215 · операционная система
- QuTScloud (QNAP Systems) — до c5.0.1.1998 · операционная система, ПО виртуализации/ПО виртуального программно-аппаратного средства
Возможные меры по устранению уязвимости
Обновление.
- Использование рекомендаций
- www.qnap.com/en/security-advisory/qsa-22-16
