QNAP waarschuwt voor twee kritieke kwetsbaarheden in zijn QTS besturingsysteem en applicaties voor zijn NAS-systemen. In beide gevallen stellen de kwetsbaarheden kwaadwillenden in staat code uit te voeren op getroffen systemen.

De ernst van de eerste kwetsbaarheid (CVE-2023-23368) is beoordeeld met een 9,8 uit 10. Het gaat om een kwetsbaarheid waarmee kwaadwillenden via een netwerk commando's kunnen injecteren in kwetsbare NAS-systemen. De kwetsbaarheid is aanwezig in QTS 5.0.x en 4.5.x, QuTS hero h5.0.x en h4.5.x, en QuTScloud c5.0.1.

Het lek is gedicht in de volgende releases:

• QTS 5.0.1.2376 build 20230421 en later
• QTS 4.5.4.2374 build 20230416 en later
• QuTS hero h5.0.1.2376 build 20230421 en later
• QuTS hero h4.5.4.2374 build 20230417 en later
• QuTScloud c5.0.1.2374 en later

Ook tweede lek gedicht

De tweede kwetsbaarheid (CVE-2023-23369) krijgt een beoordeling van 9.0 uit 10. Ook in dit geval stelt het beveiligingsprobleem kwaadwillenden in staat via een netwerk commando's te injecteren. Onder meer QTS versies 5.1.x, 4.3.6, 4.3.4, 4.3.3 en 4.2.x, Multimedia Console 2.1.x en 1.4.x, en Media Streaming add-on 500.1.x en 500.0.x zijn kwetsbaar. Het lek is door QNAP gedicht in:

• QTS 5.1.0.2399 build 20230515 en later
• QTS 4.3.6.2441 build 20230621 en later
• QTS 4.3.4.2451 build 20230621 en later
• QTS 4.3.3.2420 build 20230621 en later
• QTS 4.2.6 build 20230621 en later
• Multimedia Console 2.1.2 (2023/05/04) en later
• Multimedia Console 1.4.8 (2023/05/05) en later
• Media Streaming add-on 500.1.1.2 (2023/06/12) en later
• Media Streaming add-on 500.0.0.11 (2023/06/16) en later