Avis du CERT-FR

Json

Objet : Multiples vulnérabilités dans les produits Qnap

Gestion du document

Référence	CERTFR-2023-AVI-0271
Titre	Multiples vulnérabilités dans les produits Qnap
Date de la première version	30 mars 2023
Date de la dernière version	30 mars 2023
Source(s)	Bulletin de sécurité Qnap QSA-23-02 du 30 mars 2023 Bulletin de sécurité Qnap QSA-23-03 du 30 mars 2023 Bulletin de sécurité Qnap QSA-23-06 du 30 mars 2023 Bulletin de sécurité Qnap QSA-23-10 du 30 mars 2023 Bulletin de sécurité Qnap QSA-23-11 du 30 mars 2023 Bulletin de sécurité Qnap QSA-23-15 du 30 mars 2023

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Atteinte à la confidentialité des données
Contournement de la politique de sécurité
Exécution de code arbitraire à distance

Systèmes affectés

QTS versions 5.0.x antérieures à 5.0.1.2346 build 20230322
QuTS hero h5.0.x antérieures à h5.0.1.2348 build 20230324

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Qnap. Elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une atteinte à la confidentialité des données et un contournement de la politique de sécurité.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité Qnap QSA-23-02 du 30 mars 2023
https://www.qnap.com/fr-fr/security-advisory/qsa-23-02
Bulletin de sécurité Qnap QSA-23-03 du 30 mars 2023
https://www.qnap.com/fr-fr/security-advisory/qsa-23-03
Bulletin de sécurité Qnap QSA-23-06 du 30 mars 2023
https://www.qnap.com/fr-fr/security-advisory/qsa-23-06
Bulletin de sécurité Qnap QSA-23-10 du 30 mars 2023
https://www.qnap.com/fr-fr/security-advisory/qsa-23-10
Bulletin de sécurité Qnap QSA-23-11 du 30 mars 2023
https://www.qnap.com/fr-fr/security-advisory/qsa-23-11
Bulletin de sécurité Qnap QSA-23-15 du 30 mars 2023
https://www.qnap.com/fr-fr/security-advisory/qsa-23-15
Référence CVE CVE-2022-27597
https://www.cve.org/CVERecord?id=CVE-2022-27597
Référence CVE CVE-2022-27598
https://www.cve.org/CVERecord?id=CVE-2022-27598
Référence CVE CVE-2022-3437
https://www.cve.org/CVERecord?id=CVE-2022-3437
Référence CVE CVE-2022-3592
https://www.cve.org/CVERecord?id=CVE-2022-3592
Référence CVE CVE-2022-42898
https://www.cve.org/CVERecord?id=CVE-2022-42898
Référence CVE CVE-2022-4304
https://www.cve.org/CVERecord?id=CVE-2022-4304
Référence CVE CVE-2022-4450
https://www.cve.org/CVERecord?id=CVE-2022-4450
Référence CVE CVE-2023-0215
https://www.cve.org/CVERecord?id=CVE-2023-0215
Référence CVE CVE-2023-0286
https://www.cve.org/CVERecord?id=CVE-2023-0286
Référence CVE CVE-2023-22809
https://www.cve.org/CVERecord?id=CVE-2023-22809
Référence CVE CVE-2023-23355
https://www.cve.org/CVERecord?id=CVE-2023-23355

Gestion détaillée du document

Date	Description
30 mars 2023	Version initiale