BDU:2023-04231

Опубликовано: 28 июл. 2023

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость операционных систем QTS, QuTS hero, QuTScloud, сетевых хранилищ QNAP и системы управления видеонаблюдением QVR Pro связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

QNAP Systems, Inc.

Наименование ПО

QTS

QuTS hero

QuTScloud

QVR Pro

Версия ПО

до 5.0.1.2277 build 20230112 (QTS)

до 4.5.4.2280 build 20230112 (QTS)

до h5.0.1.2277 build 20230112 (QuTS hero)

до h4.5.4.2374 build 20230417 (QuTS hero)

до c5.0.1.2374 build 20230419 (QuTScloud)

до 2.3.1.0476 (QVR Pro)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- ограничение доступа к устройствам Qnap из общедоступных сетей (Интернет);

- использование средств межсетевого экранирования уровня веб-приложений.

Использование рекомендаций производителя:

https://www.qnap.com/en/security-advisory/qsa-23-09

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://www.qnap.com/en/security-advisory/qsa-23-09

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 75%

0.00868

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2022-27600

CVSS3: 6.8

nvd

около 1 года назад

An uncontrolled resource consumption vulnerability has been reported to affect several QNAP operating system versions. If exploited, the vulnerability could allow remote attackers to launch a denial-of-service (DoS) attack. We have already fixed the vulnerability in the following versions: QTS 5.0.1.2277 and later QTS 4.5.4.2280 build 20230112 and later QuTS hero h5.0.1.2277 build 20230112 and later QuTS hero h4.5.4.2374 build 20230417 and later QuTScloud c5.0.1.2374 and later

GHSA-gxhj-h2vr-cfxw