- Aktif istismar
- CWE-22
CVE-2019-7195
QNAP Photo Station'da yol geçişi (path traversal) açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 2518 gün
- Kaydı açan
- qnap
Yönetici özeti
Şirketinizde veya müşterilerinizde Photo Station çalıştıran bir QNAP NAS varsa, internetten herhangi biri kimlik bilgisi olmadan cihazdaki dosyalara erişebilir ya da onları değiştirebilir. Açık aktif olarak istismar edildiği için güncelleme acilen yapılmalıdır.
ÖzetTürkçe
QNAP NAS cihazlarında çalışan Photo Station uygulamasında, dosya adı veya yolunun harici olarak kontrol edilebilmesinden kaynaklanan bir yol geçişi (CWE-22) zafiyeti bulunmaktadır. Kimlik doğrulaması gerektirmeden ağ üzerinden istismar edilebilir. Zafiyet CISA'nın bilinen istismar edilen açıklar (KEV) listesine eklenmiştir; yani gerçek saldırılarda kullanıldığı bilinmektedir. Photo Station çalıştıran tüm QNAP NAS cihazları etkilenir.
Saldırgan ne yapabilir?
Uzaktan saldırgan, sistem dosyalarına erişebilir veya bu dosyaları değiştirebilir. Bu durum gizlilik, bütünlük ve erişilebilirlik üzerinde ciddi etki oluşturur.
Kaynaktaki açıklama (İngilizce)
This external control of file name or path vulnerability allows remote attackers to access or modify system files. To fix the vulnerability, QNAP recommend updating Photo Station to their latest versions.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- Photo Station uygulamasını QNAP'ın yayımladığı en son sürüme güncelleyin. Genel öneri
- Satıcı talimatlarına uygun şekilde güncellemeleri uygulayın. CISA
- Güncelleme yapılana kadar Photo Station uygulamasını devre dışı bırakın ve NAS'ın internetten doğrudan erişimini kapatın. Genel öneri
Ek önlemler
- NAS cihazlarını doğrudan internete açmayın; uzaktan erişim için VPN kullanın. Genel öneri
- Kullanılmayan QNAP uygulamalarını kaldırın ve kalan uygulamaları güncel tutun. Genel öneri
- Web sunucusu ve uygulama günlüklerinde dizin geçişi içeren şüpheli isteklere ve beklenmeyen dosya değişikliklerine karşı izleme yapın. Genel öneri
- Cihazın düzenli ve çevrimdışı yedeklerini alın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| QNAP NAS devices running Photo Station | Sürüm belirtilmemiş | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.