CERTFR-2024-AVI-1018_Multiples vulnerabilites dans les produits Qnap

AVIS CERT

CERT-FR

Publié le 25 novembre 2024 à 17h47 - Mis à jour le 17 mars 2025 à 10h34

Objet

Multiples vulnérabilités dans les produits Qnap

Référence

CERTFR-2024-AVI-1018

Risque(s)

Atteinte à la confidentialité des données
Contournement de la politique de sécurité
Déni de service à distance
Exécution de code arbitraire à distance
Injection de code indirecte à distance (XSS)
Non spécifié par l'éditeur

Système(s) affecté(s)

Media Streaming add-on versions 500.1.x antérieures à 500.1.1.6
Notes Station 3 versions 3.9.x antérieures à 3.9.7
Photo Station versions 6.4.x antérieures à 6.4.3
QNAP AI Core versions 3.4.x antérieures à 3.4.1
QTS versions 5.1.x antérieures à 5.1.8.2823 build 20240712
QTS versions 5.2.x antérieures à 5.2.1.2930 build 20241025
QuLog Center versions 1.7.x antérieures à 1.7.0.831
QuLog Center versions 1.8.x antérieures à 1.8.0.888
QuRouter versions 2.4.x antérieures à 2.4.3.103
QuRouter versions 2.4.x antérieures à 2.4.4.106
QuTS hero versions h5.1.x antérieures à h5.1.8.2823 build 20240712
QuTS hero versions h5.2.x antérieures à h5.2.1.2929 build 20241025

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Qnap. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et une atteinte à la confidentialité des données.

Solution(s)

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation(s)

Bulletin de sécurité Qnap QSA-24-36 du 23 novembre 2024 : https://www.qnap.com/go/security-advisory/qsa-24-36
Bulletin de sécurité Qnap QSA-24-37 du 23 novembre 2024 : https://www.qnap.com/go/security-advisory/qsa-24-37
Bulletin de sécurité Qnap QSA-24-39 du 23 novembre 2024 : https://www.qnap.com/go/security-advisory/qsa-24-39
Bulletin de sécurité Qnap QSA-24-40 du 23 novembre 2024 : https://www.qnap.com/go/security-advisory/qsa-24-40
Bulletin de sécurité Qnap QSA-24-43 du 23 novembre 2024 : https://www.qnap.com/go/security-advisory/qsa-24-43
Bulletin de sécurité Qnap QSA-24-44 du 23 novembre 2024 : https://www.qnap.com/go/security-advisory/qsa-24-44
Bulletin de sécurité Qnap QSA-24-46 du 23 novembre 2024 : https://www.qnap.com/go/security-advisory/qsa-24-46
Bulletin de sécurité Qnap QSA-24-47 du 23 novembre 2024 : https://www.qnap.com/go/security-advisory/qsa-24-47
Référence CVE CVE-2020-14145 : https://www.cve.org/CVERecord?id=CVE-2020-14145
Référence CVE CVE-2021-41617 : https://www.cve.org/CVERecord?id=CVE-2021-41617
Référence CVE CVE-2023-38408 : https://www.cve.org/CVERecord?id=CVE-2023-38408
Référence CVE CVE-2024-32767 : https://www.cve.org/CVERecord?id=CVE-2024-32767
Référence CVE CVE-2024-32768 : https://www.cve.org/CVERecord?id=CVE-2024-32768
Référence CVE CVE-2024-32769 : https://www.cve.org/CVERecord?id=CVE-2024-32769
Référence CVE CVE-2024-32770 : https://www.cve.org/CVERecord?id=CVE-2024-32770
Référence CVE CVE-2024-37041 : https://www.cve.org/CVERecord?id=CVE-2024-37041
Référence CVE CVE-2024-37042 : https://www.cve.org/CVERecord?id=CVE-2024-37042
Référence CVE CVE-2024-37043 : https://www.cve.org/CVERecord?id=CVE-2024-37043
Référence CVE CVE-2024-37044 : https://www.cve.org/CVERecord?id=CVE-2024-37044
Référence CVE CVE-2024-37045 : https://www.cve.org/CVERecord?id=CVE-2024-37045
Référence CVE CVE-2024-37046 : https://www.cve.org/CVERecord?id=CVE-2024-37046
Référence CVE CVE-2024-37047 : https://www.cve.org/CVERecord?id=CVE-2024-37047
Référence CVE CVE-2024-37048 : https://www.cve.org/CVERecord?id=CVE-2024-37048
Référence CVE CVE-2024-37049 : https://www.cve.org/CVERecord?id=CVE-2024-37049
Référence CVE CVE-2024-37050 : https://www.cve.org/CVERecord?id=CVE-2024-37050
Référence CVE CVE-2024-38643 : https://www.cve.org/CVERecord?id=CVE-2024-38643
Référence CVE CVE-2024-38644 : https://www.cve.org/CVERecord?id=CVE-2024-38644
Référence CVE CVE-2024-38645 : https://www.cve.org/CVERecord?id=CVE-2024-38645
Référence CVE CVE-2024-38646 : https://www.cve.org/CVERecord?id=CVE-2024-38646
Référence CVE CVE-2024-38647 : https://www.cve.org/CVERecord?id=CVE-2024-38647
Référence CVE CVE-2024-48860 : https://www.cve.org/CVERecord?id=CVE-2024-48860
Référence CVE CVE-2024-48861 : https://www.cve.org/CVERecord?id=CVE-2024-48861
Référence CVE CVE-2024-48862 : https://www.cve.org/CVERecord?id=CVE-2024-48862
Référence CVE CVE-2024-50395 : https://www.cve.org/CVERecord?id=CVE-2024-50395
Référence CVE CVE-2024-50396 : https://www.cve.org/CVERecord?id=CVE-2024-50396
Référence CVE CVE-2024-50397 : https://www.cve.org/CVERecord?id=CVE-2024-50397
Référence CVE CVE-2024-50398 : https://www.cve.org/CVERecord?id=CVE-2024-50398
Référence CVE CVE-2024-50399 : https://www.cve.org/CVERecord?id=CVE-2024-50399
Référence CVE CVE-2024-50400 : https://www.cve.org/CVERecord?id=CVE-2024-50400
Référence CVE CVE-2024-50401 : https://www.cve.org/CVERecord?id=CVE-2024-50401

Dernière version du document

https://www.cert.ssi.gouv.fr/avis/CERTFR-2024-AVI-1018/