Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-22

CVE-2019-7194

QNAP Photo Station'da yol geçişi (path traversal) açığı

QNAP NAS devices running Photo Station

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
2519 gün
Kaydı açan
qnap
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 8 Haz 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 22 Haz 2022. Fidye yazılımı saldırılarında da kullanılmış.

Yönetici özeti

Şirketinizdeki QNAP depolama cihazlarında Photo Station kullanılıyorsa, internetten herhangi biri kimlik bilgisi olmadan cihazdaki dosyalara erişebilir veya bunları değiştirebilir. Açık aktif olarak istismar edildiği için güncelleme acilen yapılmalıdır. Geciken müdahale veri kaybı veya veri sızıntısı riskini artırır.

ÖzetTürkçe

QNAP NAS cihazlarında çalışan Photo Station uygulamasında, dosya adı veya yolun harici olarak kontrol edilebilmesine yol açan bir yol geçişi (CWE-22) zafiyeti bulunuyor. Kimlik doğrulaması gerekmeden uzaktan istismar edilebilen açık, sistem dosyalarına erişilmesine veya bu dosyaların değiştirilmesine izin veriyor. Zafiyet CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer alıyor ve aktif olarak istismar edildiği biliniyor.

Saldırgan ne yapabilir?

Uzaktan saldırgan, kimlik doğrulaması olmadan cihazdaki sistem dosyalarını okuyabilir veya değiştirebilir. Bu durum cihazın gizlilik, bütünlük ve erişilebilirlik açısından tamamen ele geçirilmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

This external control of file name or path vulnerability allows remote attackers to access or modify system files. To fix the vulnerability, QNAP recommend updating Photo Station to their latest versions.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Photo Station uygulamasını QNAP'ın yayımladığı en güncel sürüme güncelleyin. Genel öneri
  2. CISA'nın gerekli eylemi uyarınca güncellemeleri üretici talimatlarına göre uygulayın. CISA
  3. Güncelleme hemen yapılamıyorsa Photo Station'ı geçici olarak devre dışı bırakın veya cihazın internetten erişimini kapatın. Genel öneri

Ek önlemler

  • NAS cihazlarını doğrudan internete açmayın; uzaktan erişim için VPN kullanın. Genel öneri
  • Kullanılmayan uygulamaları kaldırın ve QNAP uygulamalarını düzenli olarak güncel tutun. Genel öneri
  • Cihaz günlüklerini ve dosya değişikliklerini izleyerek şüpheli erişim izlerini kontrol edin. Genel öneri
  • Önemli verilerin düzenli ve cihaz dışında yedeğini alın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
QNAP NAS devices running Photo Station Sürüm belirtilmemiş –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.