- Aktif istismar
- Yama var
- CWE-285
CVE-2021-28799
QNAP HBS 3 (Hybrid Backup Sync) uygulamasında yetkilendirme eksikliği
QNAP Systems Inc. HBS 1.3QNAP Systems Inc. HBS 2QNAP Systems Inc. HBS 3
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 1994 gün
- Kaydı açan
- qnap
Yönetici özeti
Bu açık, internetten erişilebilen QNAP depolama cihazlarına herhangi bir şifre olmadan girilmesine imkân tanıyor ve aktif olarak istismar edildiği bilinmektedir. Yedekler ve dosyalar çalınabilir, değiştirilebilir ya da silinebilir. Güncelleme gecikmeden uygulanmalıdır.
ÖzetTürkçe
QNAP NAS cihazlarında çalışan HBS 3 (Hybrid Backup Sync) uygulamasında uygunsuz yetkilendirme (CWE-285) açığı bulunuyor. Açık, uzaktaki saldırganların kimlik doğrulaması olmadan cihaza giriş yapmasına izin veriyor. QTS 4.5.2, 4.3.6, 4.3.4 ve 4.3.3, QuTS hero h4.5.1 ve QuTScloud c4.5.1~c4.5.4 üzerindeki HBS 3'ün düzeltilmemiş sürümleri etkileniyor. HBS 2 ve HBS 1.3 etkilenmiyor.
Saldırgan ne yapabilir?
Uzaktaki bir saldırgan kimlik doğrulaması yapmadan cihaza giriş yapabilir; bu da cihazdaki verilerin gizliliği, bütünlüğü ve erişilebilirliği açısından tam kontrol kaybına yol açabilir. CVSS puanı 10 (kritik) olup açık CISA KEV listesinde yer alıyor.
Kaynaktaki açıklama (İngilizce)
An improper authorization vulnerability has been reported to affect QNAP NAS running HBS 3 (Hybrid Backup Sync. ) If exploited, the vulnerability allows remote attackers to log in to a device. This issue affects: QNAP Systems Inc. HBS 3 versions prior to v16.0.0415 on QTS 4.5.2; versions prior to v3.0.210412 on QTS 4.3.6; versions prior to v3.0.210411 on QTS 4.3.4; versions prior to v3.0.210411 on QTS 4.3.3; versions prior to v16.0.0419 on QuTS hero h4.5.1; versions prior to v16.0.0419 on QuTScloud c4.5.1~c4.5.4. This issue does not affect: QNAP Systems Inc. HBS 2 . QNAP Systems Inc. HBS 1.3 .
Üreticinin çözüm notu (İngilizce)
QNAP have already fixed this vulnerability in the following versions of HBS 3:
QTS 4.5.2: HBS 3 v16.0.0415 and later
QTS 4.3.6: HBS 3 v3.0.210412 and later
QTS 4.3.3 and 4.3.4: HBS 3 v3.0.210411 and later
QuTS hero h4.5.1: HBS 3 v16.0.0419 and later
QuTScloud c4.5.1~c4.5.4: HBS 3 v16.0.0419 and later
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- HBS 3 uygulamasını işletim sisteminize uygun düzeltilmiş sürüme güncelleyin: QTS 4.5.2 için v16.0.0415 ve üzeri; QTS 4.3.6 için v3.0.210412 ve üzeri; QTS 4.3.3 ve 4.3.4 için v3.0.210411 ve üzeri; QuTS hero h4.5.1 ile QuTScloud c4.5.1~c4.5.4 için v16.0.0419 ve üzeri. Üretici
- CISA'nın gerektirdiği işlem: güncellemeleri üretici talimatlarına göre uygulayın. CISA
- Güncelleme hemen yapılamıyorsa cihazın internetten doğrudan erişimini kapatın ve erişimi güvenilir ağlarla ya da VPN ile sınırlayın. Genel öneri
Ek önlemler
- NAS cihazlarını doğrudan internete açmayın; uzaktan erişimi VPN ve güvenlik duvarı kurallarıyla kısıtlayın. Genel öneri
- Cihaz günlüklerinde tanımadığınız oturum açma kayıtlarını, yeni kullanıcı hesaplarını ve beklenmeyen yapılandırma değişikliklerini kontrol edin. Genel öneri
- Yedeklerin çevrimdışı veya ayrı bir konumda da tutulduğundan emin olun. Genel öneri
- Yüklü uygulamaların sürümlerini düzenli olarak denetleyin ve otomatik güncelleme bildirimlerini etkinleştirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler3 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| QNAP Systems Inc. HBS 1.3 | Sürüm belirtilmemiş Etkilenmiyor | – |
| QNAP Systems Inc. HBS 2 | Sürüm belirtilmemiş Etkilenmiyor | – |
| QNAP Systems Inc. HBS 3 | < v16.0.0415 | v16.0.0415 |
| < v3.0.210412 | v3.0.210412 | |
| < v3.0.210411 | v3.0.210411 | |
| < v16.0.0419 | v16.0.0419 |
Kaynaklar3 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.