QSA-20-21
QTSの制限付きディレクトリへのパス名の不適切な制限
本内容はQNAPが発表したセキュリティアドバイザリ QSA-20-21の弊社による参考訳です。
原文との間で内容に差異がある場合は、原文の内容が優先されます。
原文との間で内容に差異がある場合は、原文の内容が優先されます。
- リリース日 : 2020年12月30日
- セキュリティID : QSA-20-21
- 重大度 :高
- CVE識別子 : CVE-2018-19945
- 影響を受ける製品：特定のQNAP NAS
概要
脆弱性は、QTS4.3.4から4.3.6を実行している以前のQNAPデバイスに影響を与えることが報告されています。制限されたディレクトリへのパス名の不適切な制限が原因で、この脆弱性により、悪用された場合、ターゲットシステム上の任意のファイルの名前を変更できます。
この脆弱性は、次のバージョンですでに修正されています。
- QTS 4.3.6.0895ビルド20190328（およびそれ以降）
- QTS 4.3.4.0899ビルド20190322（およびそれ以降）
この問題は、QTS4.4.xまたはQTS4.5.xには影響しません。
勧告
デバイスを保護するために、システムを最新バージョンに更新して脆弱性修正の恩恵を受けることを強くお勧めします。製品サポートステータスをチェックして、NASモデルで利用可能な最新のアップデートを確認できます。
QTSのアップデートをインストールする
- 管理者としてQTSにログオンします。
- [コントロールパネル] > [システム] > [ファームウェアアップデート]に移動します。
- ライブ更新 > 更新の確認をクリックする。
最新のQTSをダウンロードしインストールを行ってください。
※： QNAPWebサイトから更新をダウンロードすることもできます。[サポート] > [ダウンロードセンター]に移動し、特定のデバイスの手動更新を実行します。
改定履歴: V1.0（2020年12月30日）-公開