QSA-21-05
本内容はQNAPが発表したセキュリティアドバイザリ QSA-21-05の弊社による参考訳です。
原文との間で内容に差異がある場合は、原文の内容が優先されます。
原文との間で内容に差異がある場合は、原文の内容が優先されます。
- リリース日 : 2021年4月16日
- セキュリティID : QSA-21-05
- 重大度 :重大
- CVE識別子 : CVE-2020-2509
- 影響を受ける製品：すべてのQNAP NAS
- ステータス：解決済
概要
コマンドインジェクションの脆弱性がQTSおよびQuTSヒーローに影響を与えることが報告されています。
この脆弱性が悪用されると、攻撃者は侵害されたアプリケーションで任意のコマンドを実行できます。
この脆弱性は、次のバージョンですでに修正されています。
- QTS4.5.2.1566ビルド20210202以降
- QTS4.5.1.1495ビルド20201123以降
- QTS4.3.6.1620ビルド20210322以降
- QTS4.3.4.1632ビルド20210324以降
- QTS4.3.3.1624ビルド20210416以降
- QTS4.2.6ビルド20210327以降
- QuTSヒーローh4.5.1.1491ビルド20201119以降
勧告
デバイスを保護するには、システムを最新バージョンに更新して、脆弱性の修正を利用することを強くお勧めします。製品サポートステータスをチェックして、NASモデルで利用可能な最新のアップデートを確認できます。
QTSまたはQuTSヒーローの更新
- 管理者としてQTSまたはQuTSヒーローにログオンします。
- [コントロールパネル] > [システム] > [ファームウェアアップデート]に移動します。
- 下ではライブアップデート、クリックアップデートの有無をチェックします。
QTSまたはQuTSヒーローは、利用可能な最新のアップデートをダウンロードしてインストールします。
ヒント： QNAPWebサイトから更新をダウンロードすることもできます。[サポート] > [ダウンロードセンター]に移動し、特定のデバイスの手動更新を実行します。
謝辞： Omri Mallis、Yaniv Puyeski
改訂履歴： V1.0（2021年4月16日）-公開