← Toutes les vulnérabilités exploitées (KEV)

Vulnérabilités QNAP activement exploitées (KEV)

Les 11 vulnérabilités QNAP dont la CISA a confirmé l’exploitation réelle, de la plus récente à la plus ancienne, dont 9 utilisées par des rançongiciels. Textes traduits automatiquement ; la fiche de la CISA fait foi.

CVE-2023-47565 — QNAP VioStor NVR : injection de commandes système

• Produit : QNAP VioStor NVR
• Ajoutée au catalogue : 21 décembre 2023
• Échéance CISA : 11 janvier 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-78
• Gravité : CVSS 8,8 (élevée)
• Probabilité d’exploitation (EPSS) : 73 %

QNAP VioStar NVR contient une vulnérabilité d'injection de commandes système qui permet aux utilisateurs authentifiés d'exécuter des commandes via un réseau.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · qnap.com

CVE-2022-27593 — QNAP Photo Station : vulnérabilité de référence contrôlée par l'extérieur

• Produit : QNAP Photo Station
• Ajoutée au catalogue : 8 septembre 2022
• Échéance CISA : 29 septembre 2022
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-610
• Gravité : CVSS 9,1 (critique)
• Probabilité d’exploitation (EPSS) : 88 %

Certains NAS QNAP exécutant Photo Station avec exposition sur Internet contiennent une référence à une vulnérabilité de ressource contrôlée par l'extérieur qui peut permettre à un attaquant de modifier des fichiers système. cette vulnérabilité a été observée utilisée dans une campagne de rançongiciel Deadbolt.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · qnap.com

CVE-2019-7195 — QNAP Photo Station : vulnérabilité de traversée de répertoires

• Produit : QNAP Photo Station
• Ajoutée au catalogue : 8 juin 2022
• Échéance CISA : 22 juin 2022
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-22
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 89 %

Les appareils QNAP exécutant Photo Station contiennent une vulnérabilité de contrôle externe du nom de fichier ou du chemin permettant à des attaquants distants d'accéder ou de modifier des fichiers système.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2019-7194 — QNAP Photo Station : vulnérabilité de traversée de répertoires

• Produit : QNAP Photo Station
• Ajoutée au catalogue : 8 juin 2022
• Échéance CISA : 22 juin 2022
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-22
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 83 %

Les appareils QNAP exécutant Photo Station contiennent une vulnérabilité de contrôle externe du nom de fichier ou du chemin permettant à des attaquants distants d'accéder ou de modifier des fichiers système.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2019-7193 — QNAP QTS : validation incorrecte des entrées

• Produit : QNAP QTS
• Ajoutée au catalogue : 8 juin 2022
• Échéance CISA : 22 juin 2022
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-20
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 14 %

QNAP QTS contient une vulnérabilité de validation incorrecte des entrées permettant à des attaquants distants d'injecter du code sur le système.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2019-7192 — QNAP Photo Station : vulnérabilité de contrôle d'accès incorrect

• Produit : QNAP Photo Station
• Ajoutée au catalogue : 8 juin 2022
• Échéance CISA : 22 juin 2022
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-863
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 88 %

Les périphériques NAS QNAP exécutant Photo Station contiennent une vulnérabilité de contrôle d'accès incorrect permettant à des attaquants distants d'obtenir un accès non autorisé au système.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2018-19953 — QNAP NAS File Station : vulnérabilité cross-site scripting

• Produit : QNAP Network Attached Storage (NAS)
• Ajoutée au catalogue : 24 mai 2022
• Échéance CISA : 14 juin 2022
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-79, CWE-80
• Gravité : CVSS 6,1 (moyenne)
• Probabilité d’exploitation (EPSS) : 31 %

Une vulnérabilité cross-site scripting affectant QNAP NAS File Station pourrait permettre à des attaquants distants d'injecter du code malveillant.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2018-19949 — QNAP NAS : injection de commandes

• Produit : QNAP Network Attached Storage (NAS)
• Ajoutée au catalogue : 24 mai 2022
• Échéance CISA : 14 juin 2022
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-20, CWE-77, CWE-78
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 30 %

Une vulnérabilité d'injection de commandes affectant QNAP NAS File Station pourrait permettre à des attaquants distants d'exécuter des commandes.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2018-19943 — QNAP NAS File Station : vulnérabilité cross-site scripting

• Produit : QNAP Network Attached Storage (NAS)
• Ajoutée au catalogue : 24 mai 2022
• Échéance CISA : 14 juin 2022
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-79, CWE-80
• Gravité : CVSS 5,4 (moyenne)
• Probabilité d’exploitation (EPSS) : 23 %

Une vulnérabilité cross-site scripting affectant QNAP NAS File Station pourrait permettre à des attaquants distants d'injecter du code malveillant.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2020-2509 — QNAP NAS : vulnérabilité d'injection de commandes

• Produit : QNAP QNAP Network-Attached Storage (NAS)
• Ajoutée au catalogue : 11 avril 2022
• Échéance CISA : 2 mai 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-77, CWE-78
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 34 %

Les dispositifs QNAP NAS contiennent une vulnérabilité d'injection de commandes qui pourrait permettre aux attaquants d'exécuter du code à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2021-28799 — QNAP NAS : vulnérabilité d'autorisation incorrecte

• Produit : QNAP Network Attached Storage (NAS)
• Ajoutée au catalogue : 31 mars 2022
• Échéance CISA : 21 avril 2022
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-285
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 78 %

QNAP NAS exécutant HBS 3 contient une vulnérabilité d'autorisation incorrecte qui peut permettre à des attaquants distants de se connecter à un appareil.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

← Retour au suivi KEV · télécharger tout le catalogue (CSV)