Last Updated on 2024-10-22 08:04 by admin

QNAPは最近、2つの新しいセキュリティ脆弱性を公開し、それに対する修正パッチをリリースした。これらの脆弱性の一つは11月初旬に発見された0-day脆弱性であり、もう一つはコマンドインジェクションの脆弱性である。これらのセキュリティ問題に関する深刻さについては、QNAPとUnit 42の共同開示により混乱が生じている。QNAPは脆弱性に対して5.8の深刻度スコアを割り当てたが、Unit 42はこれらの脆弱性を低い攻撃の複雑さと重大な影響を持つと評価している。また、ドイツの連邦情報セキュリティ局（BSI）は緊急警告を発し、パッチの迅速な適用を呼びかけている。

CVE-2023-50358は、QNAPのQTSファームウェアのquick.cgiコンポーネントに存在するコマンドインジェクションの脆弱性であり、HTTPリクエストパラメータのtodo=set_timeinfoを設定する際に発生する。攻撃者はSPECIFIC_SERVERパラメータから任意のコマンドを実行することが可能である。この脆弱性は「低い攻撃の複雑さと重大な影響を持つ」とUnit 42によって評価されており、ドイツの連邦情報セキュリティ局も「重大な被害」が発生する可能性があると警告している。

QNAPは異なるファームウェアバージョンに対して異なるパッチを提供しており、QTS、QuTS hero、QuTScloudの各バージョンにはそれぞれ独自のアップグレード推奨がある。一般的なアドバイスとしては、最新の利用可能なバージョンにアップグレードすることが推奨されているが、即座にアップグレードできない場合には対策手順も提供されている。QNAPは異なるファームウェアバージョンに対して異なる深刻度を割り当てている理由については明確に説明していない。

【ニュース解説】

QNAPが最近、2つの新しいセキュリティ脆弱性に対する修正パッチをリリースしたことが話題となっています。これらの脆弱性の一つは、11月初旬に発見された0-day脆弱性であり、もう一つはコマンドインジェクションの脆弱性です。これらの脆弱性に関する深刻さの評価には、QNAPとセキュリティ研究機関Unit 42の間で意見の相違が見られました。QNAPは脆弱性に対して中程度の深刻度スコアを割り当てましたが、Unit 42はこれらの脆弱性を低い攻撃の複雑さと重大な影響を持つと評価し、ドイツの連邦情報セキュリティ局（BSI）も緊急警告を発しています。

特に注目されるのは、CVE-2023-50358と呼ばれる脆弱性で、QNAPのQTSファームウェアの一部であるquick.cgiコンポーネントに存在します。この脆弱性を悪用すると、攻撃者は任意のコマンドを実行することが可能になります。このような脆弱性は、IoTデバイスを保護する上で緊急の課題とされています。

QNAPは、異なるファームウェアバージョンに対して異なるパッチを提供しており、ユーザーには最新のバージョンへのアップグレードが推奨されています。しかし、すぐにアップグレードができない場合のために、対策手順も提供されています。このように、異なるファームウェアバージョンに対して異なる深刻度が割り当てられている理由については、QNAPからの明確な説明はありません。

このニュースは、IoTデバイスのセキュリティが依然として重要な課題であることを示しています。特に、脆弱性が発見された後の迅速な対応が求められます。また、セキュリティ研究機関との連携による情報共有や、ユーザーへの明確なガイダンスの提供が重要です。このようなセキュリティ脆弱性の発見と修正は、将来的により安全なIoT環境を構築するための一歩となりますが、同時に、脆弱性を悪用する潜在的なリスクも高まるため、常に警戒が必要です。

from QNAP vulnerability disclosure ends up an utter shambles.