- Aktif istismar
- Yama var
- CWE-77
- CWE-78
CVE-2020-2509
QNAP QTS ve QuTS hero'da komut enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 2020 gün
- Kaydı açan
- qnap
Yönetici özeti
Bu açık, saldırganların şirketin QNAP depolama cihazını internet üzerinden uzaktan ele geçirmesine imkân tanır ve aktif olarak istismar edildiği bilinmektedir. Cihazdaki yedekler ve dosyalar çalınabilir, değiştirilebilir veya silinebilir. Güncellemenin bir an önce uygulanması gerekir.
ÖzetTürkçe
QNAP QTS ve QuTS hero işletim sistemlerinde komut enjeksiyonu (CWE-77, CWE-78) türünde kritik bir güvenlik açığı bulunmaktadır. Açık, kimlik doğrulaması gerektirmeden ağ üzerinden istismar edilebilmektedir. Etkilenen sürümleri çalıştıran QNAP NAS cihazları risk altındadır. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer almaktadır.
Saldırgan ne yapabilir?
Saldırgan, etkilenen cihaz üzerinde kimlik doğrulaması olmadan rastgele komutlar çalıştırabilir. Bu durum cihazın ve üzerinde tutulan verilerin gizlilik, bütünlük ve erişilebilirlik açısından tamamen ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
A command injection vulnerability has been reported to affect QTS and QuTS hero. If exploited, this vulnerability allows attackers to execute arbitrary commands in a compromised application. We have already fixed this vulnerability in the following versions: QTS 4.5.2.1566 Build 20210202 and later QTS 4.5.1.1495 Build 20201123 and later QTS 4.3.6.1620 Build 20210322 and later QTS 4.3.4.1632 Build 20210324 and later QTS 4.3.3.1624 Build 20210416 and later QTS 4.2.6 Build 20210327 and later QuTS hero h4.5.1.1491 build 20201119 and later
Üreticinin çözüm notu (İngilizce)
QNAP has already fixed this vulnerability in the following versions:
QTS 4.5.2.1566 Build 20210202 and later
QTS 4.5.1.1495 Build 20201123 and later
QTS 4.3.6.1620 Build 20210322 and later
QTS 4.3.4.1632 Build 20210324 and later
QTS 4.3.3.1624 Build 20210416 and later
QTS 4.2.6 Build 20210327 and later
QuTS hero h4.5.1.1491 build 20201119 and later
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- QNAP'ın yayımladığı düzeltilmiş sürümlere güncelleyin: QTS 4.5.2.1566 Build 20210202 ve sonrası, QTS 4.5.1.1495 Build 20201123 ve sonrası, QTS 4.3.6.1620 Build 20210322 ve sonrası, QTS 4.3.4.1632 Build 20210324 ve sonrası, QTS 4.3.3.1624 Build 20210416 ve sonrası, QTS 4.2.6 Build 20210327 ve sonrası. Üretici
- QuTS hero kullanıyorsanız h4.5.1.1491 build 20201119 veya daha yeni bir sürüme güncelleyin. Üretici
- CISA'nın gerekli eylemi uyarınca güncellemeleri üretici talimatlarına göre uygulayın. CISA
- Güncelleme sonrasında cihazda yetkisiz değişiklik, bilinmeyen kullanıcı veya şüpheli işlem olup olmadığını kontrol edin. Genel öneri
Ek önlemler
- NAS cihazının yönetim arayüzünü ve diğer servislerini doğrudan internete açmayın; erişimi VPN veya güvenlik duvarı kurallarıyla kısıtlayın. Genel öneri
- Cihaz yazılımını ve uygulamalarını düzenli olarak güncelleyin, mümkünse otomatik güncelleme bildirimlerini etkinleştirin. Genel öneri
- Cihaz günlüklerini ve ağ trafiğini olağan dışı komut çalıştırma veya dış bağlantı belirtileri açısından izleyin. Genel öneri
- Önemli verilerin çevrimdışı veya ayrı bir ortamda yedeğini tutun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| QNAP Systems Inc. QTS | Sürüm belirtilmemiş | – |
| QNAP Systems Inc. QuTS hero | Sürüm belirtilmemiş | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.