NVD / CVE Program· CNA qnap

CVE-2023-39303: QTS, QuTS hero, QuTScloud

Оценка Noroxi

Приоритет: Наблюдать (оценка срочности 39/100)

В отслеживаемых источниках (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) нет публичного эксплойта или записей об эксплуатации.
Вероятность эксплуатации в ближайшие 30 дней: 0,46% (FIRST EPSS).
Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
По данным CISA атаку можно автоматизировать: цели находятся массовым сканированием.
Согласно записи, исправленной версии пока нет.
Критичность спорная: CNA оценивает в 5.3, NVD — в 9.8.
Упоминается в национальных бюллетенях кибербезопасности Турции (siberguvenlik.gov.tr): 1.

Пока низкий приоритет. Обновитесь, когда выйдет исправление; следите за бюллетенем производителя.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

An improper authentication vulnerability has been reported to affect several QNAP operating system versions. If exploited, the vulnerability could allow users to compromise the security of the system via a network. We have already fixed the vulnerability in the following versions: QTS 5.1.3.2578 build 20231110 and later QuTS hero h5.1.3.2578 build 20231110 and later QuTScloud c5.1.5.2651 and later

КритическаяCVSS 9.8 · v3.1—Эксплойта нет Исправление не зафиксировано

BDU:2024-01043

Опубликовано: 2 февр. 2024 г.
Обновлено: 17 июн. 2026 г.
EPSS: 0,4 % · 40-й процентиль
CWE: CWE-287

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 39 / 40 · 9.8 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 0 / 30 · 0,4 %

Решение CISA SSVC

Эксплуатация: нет
Автоматизируемо: да
Техническое влияние: частичное

Vulnrichment: входные данные дерева решений CISA.

Оценка CNA и NVD

NVD: 9,8
CNA · qnap: 5,3; разница 4,5 балла

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.

Узнайте, когда запись изменится

Нет в KEV: эксплуатация в реальных атаках не зафиксирована
Публичного эксплойта нет
Исправленной версии пока нет

Если что-то из этого изменится, сообщим в ежедневной сводке.

У вас WordPress? Проверьте сайт бесплатно в WP Lens

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

Вендор	Продукт	CPE
qnap	qts	cpe:2.3:o:qnap:qts
qnap	quts hero	cpe:2.3:o:qnap:quts_hero
qnap	qutscloud	cpe:2.3:o:qnap:qutscloud

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

qnap qts5.1.0.2348
qnap qts5.1.0.2399
qnap qts5.1.0.2418
qnap qts5.1.0.2444
qnap qts5.1.0.2466
qnap qts5.1.1.2491
qnap qts5.1.2.2533
qnap qts5.1.3.2578
qnap quts heroh5.1.0.2409
qnap quts heroh5.1.0.2424
qnap quts heroh5.1.0.2453
qnap quts heroh5.1.0.2466
qnap quts heroh5.1.1.2488
qnap quts heroh5.1.2.2534
qnap quts heroh5.1.3.2578
qnap qutscloudc5.1.0.2498

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (qnap). Не зависят от анализа CPE в NVD и обычно опережают его.

QNAP Systems Inc. QTS
- 5.1.x и новее · до 5.1.3.2578 build 20231110затронута
QNAP Systems Inc. QuTS hero
- h5.1.x и новее · до h5.1.3.2578 build 20231110затронута
QNAP Systems Inc. QuTScloud
- c5.x.x и новее · до c5.1.5.2651затронута

Тот же продукт

qnap: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2020-2509Command Injection Vulnerability in QTS and QuTS heroKEV
79На этой неделе
CVE-2018-19949If exploited, this command injection vulnerability could allow remote attackers to run arbitrary commands.KEV
78На этой неделе
CVE-2019-7193This improper input validation vulnerability allows remote attackers to inject arbitrary code to the system.KEV
73На этой неделе

Опубликованы до и после этой записи в том же продукте

← РаньшеCVE-2023-392972 февр. 2024 г. · QTS, QuTS hero, QuTScloud
35Наблюдать
← РаньшеCVE-2023-393022 февр. 2024 г. · QTS, QuTS hero, QuTScloud
28Наблюдать
Позже →CVE-2023-412732 февр. 2024 г. · QTS, QuTS hero, QuTScloud
28Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Для этой записи не зафиксирована версия с исправлением. Смотрите бюллетени вендора в источниках.

Статус эксплойта

Публичный эксплойт неизвестен

Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Кроме публикации датированных событий нет.

Истории пока нет (накапливается ежедневным заданием EPSS).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

Среди источников нет ссылок на коммит или PR.

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

rekter0нашёл

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

CVE-2024-21899с разницей 35 дн.QTS, QuTS hero, QuTScloud
46В плане
CVE-2024-48859с разницей 308 дн.An improper authentication vulnerability has been reported to affect several QNAP operating system versions.
21Наблюдать

Кандидаты в цепочки

Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.

CVE-2023-41283с разницей 0 дн.QTS, QuTS hero, QuTScloud
28Наблюдать
CVE-2023-47566с разницей 0 дн.QTS, QuTS hero, QuTScloud
28Наблюдать
CVE-2023-47567с разницей 0 дн.QTS, QuTS hero, QuTScloud
28Наблюдать
CVE-2023-45027с разницей 0 дн.QTS, QuTS hero, QuTScloud
19Наблюдать

Охват bug bounty

Известной публичной программы нет.

Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).

Национальное уведомление (Управление кибербезопасности Турции / USOM)

Официальные уведомления, ссылающиеся на эту запись; рекомендации — на странице ведомства.

TR-24-0081 · 5 февр. 2024 г.(QNAP Güvenlik Bildirimi)

Все национальные уведомления →

Технические детали

Условия атаки

Может быть вызвана любым, у кого есть доступ через интернет.
Учётная запись или пароль не требуются.
Действия пользователя не требуются.
Особые условия не требуются; воспроизводится стабильно.

В случае успеха

Конфиденциальность: высокое · данные могут быть прочитаны
Целостность: высокое · данные или конфигурация могут быть изменены
Доступность: высокое · работа сервиса может быть нарушена

Вектор атаки: Сеть
Сложность атаки: Низкая
Требуемые привилегии: Не требуются
Взаимодействие с пользователем: Не требуется
Область действия: Не изменяется
Влияние на конфиденциальность: Высокое
Влияние на целостность: Высокое
Влияние на доступность: Высокое

Класс уязвимости (CWE)

CWE-287 · Improper Authentication

Вектор CVSS

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

nvd-primary

Первопричина

Аутентификация добавляется к каждому маршруту по отдельности, а не обеспечивается централизованно. Если маршрут, добавленный позже, обходит общий промежуточный обработчик, проверка сессии для него не выполняется вовсе.

Ошибка в коде

Весь класс CWE-287

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

Уязвимый код

1app.use("/admin", requireSession, adminRouter);
2

3// Добавленный позже маршрут обходит обработчик
4app.post("/admin-api/config", updateConfig);

Исправленный код

1const admin = express.Router();
2admin.use(requireSession, requireRole("admin"));
3

4admin.post("/config", updateConfig);
5app.use("/admin", admin);