- Aktif istismar
- Yama var
- CWE-20
- CWE-77
- CWE-78
CVE-2018-19949
QNAP QTS File Station'da uzaktan komut enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 2 Eki 2026
- Açık yaşı
- 2190 gün
- Kaydı açan
- qnap
Yönetici özeti
Şirketin QNAP NAS cihazları güncellenmemişse, saldırganlar internet üzerinden cihaza girip verileri çalabilir, silebilir veya şifreleyebilir. Açık aktif olarak istismar edildiği için güncelleme gecikmeden yapılmalıdır.
ÖzetTürkçe
QNAP NAS cihazlarında çalışan QTS işletim sisteminin File Station bileşeninde bir komut enjeksiyonu açığı bulunuyor. Açık, kimlik doğrulaması gerektirmeden ağ üzerinden istismar edilebiliyor. Düzeltme yayımlanmamış QTS sürümlerini kullanan tüm QNAP NAS cihazları etkileniyor. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer alıyor.
Saldırgan ne yapabilir?
Uzaktan saldırgan, kimlik doğrulaması olmadan cihaz üzerinde rastgele komut çalıştırabilir. Bu durum cihazın ve içindeki verilerin tamamen ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
If exploited, this command injection vulnerability could allow remote attackers to run arbitrary commands. QNAP has already fixed the issue in the following QTS versions. QTS 4.4.2.1231 on build 20200302; QTS 4.4.1.1201 on build 20200130; QTS 4.3.6.1218 on build 20200214; QTS 4.3.4.1190 on build 20200107; QTS 4.3.3.1161 on build 20200109; QTS 4.2.6 on build 20200109.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- QTS sürümünüzü kontrol edin ve kullandığınız sürüm koluna ait düzeltilmiş sürüme güncelleyin: QTS 4.4.2.1231 (build 20200302), 4.4.1.1201 (build 20200130), 4.3.6.1218 (build 20200214), 4.3.4.1190 (build 20200107), 4.3.3.1161 (build 20200109) veya 4.2.6 (build 20200109) ya da daha yenisi. Üretici
- Güncellemeyi üretici talimatlarına göre uygulayın. CISA
- Güncelleme yapılana kadar NAS cihazını internetten erişilemeyecek şekilde kısıtlayın ve erişimi yalnızca güvenilir iç ağdan veya VPN üzerinden verin. Genel öneri
Ek önlemler
- NAS yönetim ve dosya paylaşım arayüzlerini doğrudan internete açmayın; uzaktan erişim için VPN kullanın. Genel öneri
- Cihazın günlük kayıtlarını ve olağandışı süreçleri inceleyerek olası bir ele geçirilme belirtisi olup olmadığını kontrol edin. Genel öneri
- Otomatik güncelleme bildirimlerini etkinleştirin ve düzenli yedekleri cihazdan bağımsız bir ortamda saklayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| QNAP Systems Inc. QTS | < 4.4.2.1231 | 4.4.2.1231 |
| < 4.4.1.1201 | 4.4.1.1201 | |
| < 4.3.6.1218 | 4.3.6.1218 | |
| < 4.3.4.1190 | 4.3.4.1190 | |
| < 4.3.3.1161 | 4.3.3.1161 | |
| < 4.2.6 | 4.2.6 |
Kaynaklar3 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.