- Aktif istismar
- CWE-20
CVE-2019-7193
QNAP QTS'de uzaktan kod enjeksiyonuna yol açan girdi doğrulama açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 2519 gün
- Kaydı açan
- qnap
Yönetici özeti
Şirketin QNAP NAS cihazları internetten erişilebiliyorsa, saldırganlar herhangi bir şifre bilmeden cihazı ele geçirebilir. Bu açık fiilen istismar edilmektedir; dosyaların çalınması, silinmesi veya fidye yazılımıyla şifrelenmesi riski vardır. Güncelleme gecikmeden yapılmalıdır.
ÖzetTürkçe
QNAP QTS işletim sisteminde, hatalı girdi doğrulamasından (CWE-20) kaynaklanan kritik bir güvenlik açığı bulunmaktadır. Kimlik doğrulaması gerektirmeden ağ üzerinden istismar edilebilen açık, uzaktaki bir saldırganın sisteme rastgele kod enjekte etmesine olanak tanır. QTS çalıştıran QNAP NAS cihazları etkilenmektedir. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer almaktadır.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması olmadan cihaz üzerinde rastgele kod çalıştırarak verilerin gizliliğini, bütünlüğünü ve erişilebilirliğini tamamen tehlikeye atabilir.
Kaynaktaki açıklama (İngilizce)
This improper input validation vulnerability allows remote attackers to inject arbitrary code to the system. To fix the vulnerability, QNAP recommend updating QTS to their latest versions.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- QNAP'ın önerisi doğrultusunda QTS'yi üreticinin yayımladığı en güncel sürüme yükseltin. Genel öneri
- CISA KEV gereği: Güncellemeleri üretici talimatlarına göre uygulayın. CISA
- Güncelleme hemen yapılamıyorsa cihazın internetten doğrudan erişimini kapatın ve yalnızca VPN veya güvenlik duvarı kurallarıyla güvenilir ağlardan erişime izin verin. Genel öneri
Ek önlemler
- NAS yönetim arayüzünü ve diğer servisleri doğrudan internete açmayın. Genel öneri
- Cihaz üzerinde tanımadığınız süreçler, kullanıcılar veya zamanlanmış görevler olup olmadığını kontrol edin; güncelleme öncesi olası bir ele geçirilme belirtisi arayın. Genel öneri
- Düzenli ve cihazdan ayrı (çevrimdışı veya ayrı ağda) yedek alın. Genel öneri
- Otomatik veya düzenli aralıklarla üretici güncellemelerini kontrol edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| QNAP NAS devices | Sürüm belirtilmemiş | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.