Avis du CERT-FR

Json

Objet : Vulnérabilité dans QNAP Proxy Server

Gestion du document

Référence	CERTFR-2022-AVI-503
Titre	Vulnérabilité dans QNAP Proxy Server
Date de la première version	27 mai 2022
Date de la dernière version	27 mai 2022
Source(s)	Bulletin de sécurité QNAP qsa-22-18 du 26 mai 2022

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Injection de requêtes illégitimes par rebond (CSRF)

Systèmes affectés

QTS versions 4.5.x et QTS versions 5.0.x avec Proxy Server versions antérieures à 1.4.2 (2021/12/30)
QuTS hero versions h5.0.x avec Proxy Server versions antérieures à 1.4.3 (2022/01/18)
QuTScloud versions c4.5.x et QuTScloud versions c5.0.x avec Proxy Server versions antérieures à 1.4.2 (2021/12/30)

Résumé

Une vulnérabilité a été découverte dans QNAP Proxy Server. Elle permet à un attaquant de provoquer une injection de requêtes illégitimes par rebond (CSRF).

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité QNAP qsa-22-18 du 26 mai 2022
https://www.qnap.com/fr-fr/security-advisory/qsa-22-18
Référence CVE CVE-2021-34360
https://www.cve.org/CVERecord?id=CVE-2021-34360

Gestion détaillée du document

Date	Description
27 mai 2022	Version initiale