CVE-2023-23355

Опубликовано: 29 мар. 2023

Источник: nvd

CVSS3: 6.6

CVSS3: 7.2

EPSS Низкий

Описание

An OS command injection vulnerability has been reported to affect QNAP operating systems. If exploited, the vulnerability possibly allows remote authenticated administrators to execute commands via unspecified vectors. QES is not affected.

We have already fixed the vulnerability in the following versions: QTS 5.0.1.2346 build 20230322 and later QTS 4.5.4.2374 build 20230416 and later QuTS hero h5.0.1.2348 build 20230324 and later QuTS hero h4.5.4.2374 build 20230417 and later QuTScloud c5.0.1.2374 and later

Ссылки

https://www.qnap.com/en/security-advisory/qsa-23-10
Vendor Advisory
https://www.qnap.com/en/security-advisory/qsa-23-10
Vendor Advisory

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:qnap:qvr:-:*:*:*:*:*:*:*

cpe:2.3:o:qnap:qts:*:*:*:*:*:*:*:*

Версия до 5.0.1.2346 (исключая)

cpe:2.3:o:qnap:quts_hero:*:*:*:*:*:*:*:*

Версия до h5.0.1.2348 (исключая)

cpe:2.3:o:qnap:qutscloud:-:*:*:*:*:*:*:*

Конфигурация 2

Одновременно

cpe:2.3:o:qnap:qvp-41b_firmware:-:*:*:*:*:*:*:*

cpe:2.3:h:qnap:qvp-41b:-:*:*:*:*:*:*:*

Конфигурация 3

Одновременно

cpe:2.3:o:qnap:qvp-63b_firmware:-:*:*:*:*:*:*:*

cpe:2.3:h:qnap:qvp-63b:-:*:*:*:*:*:*:*

Конфигурация 4

Одновременно

cpe:2.3:o:qnap:qvp-85b_firmware:-:*:*:*:*:*:*:*

cpe:2.3:h:qnap:qvp-85b:-:*:*:*:*:*:*:*

Конфигурация 5

Одновременно

cpe:2.3:o:qnap:qvp-21a_firmware:-:*:*:*:*:*:*:*

cpe:2.3:h:qnap:qvp-21a:-:*:*:*:*:*:*:*

Конфигурация 6

Одновременно

cpe:2.3:o:qnap:qvp-41a_firmware:-:*:*:*:*:*:*:*

cpe:2.3:h:qnap:qvp-41a:-:*:*:*:*:*:*:*

Конфигурация 7

Одновременно

cpe:2.3:o:qnap:qvp-63a_firmware:-:*:*:*:*:*:*:*

cpe:2.3:h:qnap:qvp-63a:-:*:*:*:*:*:*:*

Конфигурация 8

Одновременно

cpe:2.3:o:qnap:qvp-85a_firmware:-:*:*:*:*:*:*:*

cpe:2.3:h:qnap:qvp-85a:-:*:*:*:*:*:*:*

EPSS

Процентиль: 51%

0.00282

Низкий

6.6 Medium

CVSS3

7.2 High

CVSS3

Дефекты

CWE-77

Связанные уязвимости

GHSA-vf28-x3q6-9qg2

CVSS3: 8.8

github

почти 3 года назад

A vulnerability has been reported to affect multiple QNAP operating systems. If exploited, the vulnerability allows remote authenticated users to execute arbitrary commands via susceptible QNAP devices. The vulnerability affects the following QNAP operating systems: QTS, QuTS hero, QuTScloud, QVP (QVR Pro appliances), QVR. We have already fixed the vulnerability in the following operating system versions: QTS 5.0.1.2346 build 20230322 and later QuTS hero h5.0.1.2348 build 20230324 and later

BDU:2023-01892

CVSS3: 6.6

fstec

почти 3 года назад

Уязвимость операционных систем QTS, QuTS hero, QuTScloud, связанная с непринятием мер по чистке данных на управляющем уровне, позволяющая нарушителю выполнить произвольные команды

EPSS

Процентиль: 51%

0.00282

Низкий

6.6 Medium

CVSS3

7.2 High

CVSS3

Дефекты

CWE-77