Avis du CERT-FR

Json

Objet : Multiples vulnérabilités dans les produits Qnap

Gestion du document

Référence	CERTFR-2024-AVI-1052
Titre	Multiples vulnérabilités dans les produits Qnap
Date de la première version	09 décembre 2024
Date de la dernière version	09 décembre 2024
Source(s)	Bulletin de sécurité Qnap QSA-24-48 du 07 décembre 2024 Bulletin de sécurité Qnap QSA-24-49 du 07 décembre 2024 Bulletin de sécurité Qnap QSA-24-50 du 07 décembre 2024

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Atteinte à l'intégrité des données
Contournement de la politique de sécurité
Exécution de code arbitraire à distance
Non spécifié par l'éditeur

Systèmes affectés

License Center versions 1.9.x antérieures à 1.9.43
Qsync Central versions 4.4.x antérieures à 4.4.0.16_20240819 ( 2024/08/19 )
QTS versions 5.1.x antérieures à 5.1.9.2954 build 20241120
QTS versions 5.2.x antérieures à 5.2.2.2950 build 20241114
QuTS hero versions h5.1.x antérieures à h5.1.9.2954 build 20241120
QuTS hero versions h5.2.x antérieures à h5.2.2.2952 build 20241116

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Qnap. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une atteinte à l'intégrité des données et un contournement de la politique de sécurité.

Solutions

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité Qnap QSA-24-48 du 07 décembre 2024
https://www.qnap.com/go/security-advisory/qsa-24-48
Bulletin de sécurité Qnap QSA-24-49 du 07 décembre 2024
https://www.qnap.com/go/security-advisory/qsa-24-49
Bulletin de sécurité Qnap QSA-24-50 du 07 décembre 2024
https://www.qnap.com/go/security-advisory/qsa-24-50
Référence CVE CVE-2024-48859
https://www.cve.org/CVERecord?id=CVE-2024-48859
Référence CVE CVE-2024-48863
https://www.cve.org/CVERecord?id=CVE-2024-48863
Référence CVE CVE-2024-48865
https://www.cve.org/CVERecord?id=CVE-2024-48865
Référence CVE CVE-2024-48866
https://www.cve.org/CVERecord?id=CVE-2024-48866
Référence CVE CVE-2024-48867
https://www.cve.org/CVERecord?id=CVE-2024-48867
Référence CVE CVE-2024-48868
https://www.cve.org/CVERecord?id=CVE-2024-48868
Référence CVE CVE-2024-50393
https://www.cve.org/CVERecord?id=CVE-2024-50393
Référence CVE CVE-2024-50402
https://www.cve.org/CVERecord?id=CVE-2024-50402
Référence CVE CVE-2024-50403
https://www.cve.org/CVERecord?id=CVE-2024-50403
Référence CVE CVE-2024-50404
https://www.cve.org/CVERecord?id=CVE-2024-50404

Gestion détaillée du document

Date	Description
09 décembre 2024	Version initiale