CVE-2025-62850: DoS-sårbarhed i QNAP QuTS hero
QNAP QuTS hero har en sårbarhed, der kan lammes af en angriber med admin-adgang. Opdatér styresystemet til nyeste build.
Hvad er det?
CVE-2025-62850 er en fejl i QNAP’s styresystem QuTS hero, der bruges på en række NAS-enheder (netværksdiskstationer til fildeling og backup). Fejlen er en såkaldt null pointer dereference, hvor systemet forsøger at bruge en hukommelsesreference, der ikke findes, hvilket får tjenesten til at gå ned. En angriber, der allerede har fået fat i en administratorkonto på enheden, kan udnytte fejlen til at gennemføre et denial-of-service-angreb, altså få systemet til at holde op med at virke.
Hvem rammer det?
Sårbarheden findes i QNAP QuTS hero i versionerne h5.2.0.2737 til under h5.2.9.3410, h5.3.0.3115 til under h5.3.4.3500 og h6.0.0.3324 til under h6.0.0.3459. Det rammer virksomheder og kommuner, der har QNAP NAS-enheder med QuTS hero som styresystem, typisk brugt til fildeling, backup og lagring af følsomme data. Enheder, der er tilgængelige direkte fra internettet eller har administratoradgang delt bredt i organisationen, er særligt udsatte.
Hvad kan ske?
Hvis en angriber får fat i en administratorkonto, eksempelvis via genbrugte kodeord eller phishing, kan de bruge fejlen til at lukke NAS-enheden ned. For en dansk virksomhed betyder det, at fildeling, backup og eventuelle netværkstjenester, der kører på enheden, stopper med at virke, indtil den genstartes eller genoprettes. Det kan forsinke daglig drift og i værste fald forsinke gendannelse efter et andet angreb, hvis backupsystemet selv er ramt.
Hvor alvorligt er det?
CVSS-scoren er 7,2 ud af 10, hvilket klassificeres som alvorlig. Angrebet kræver netværksadgang, men også høje rettigheder i form af en administratorkonto, og det kræver ingen handling fra en almindelig bruger. Det betyder, at fejlen ikke kan udnyttes af hvem som helst udefra uden videre, men at den bliver kritisk, hvis administratoradgang først er kompromitteret, for eksempel via svage kodeord eller lækkede loginoplysninger. QNAP har ikke oplyst, at sårbarheden er udnyttet i praksis.
Hvad gør jeg nu?
Vi anbefaler følgende trin i prioriteret rækkefølge:
- Opdatér QuTS hero til den fikserede version: h5.2.9.3410 build 20260214 eller nyere, h5.3.4.3500 build 20260520 eller nyere, eller h6.0.0.3459 build 20260409 eller nyere, afhængigt af jeres nuværende version.
- Gennemgå alle administratorkonti på NAS-enheden og skift kodeord, hvis der er mistanke om genbrug eller lækage.
- Aktivér to-faktor-godkendelse på administratorkonti, hvis det ikke allerede er sat op.
- Sørg for, at NAS-enhedens administrationsgrænseflade ikke er tilgængelig direkte fra internettet.
- Kontrollér logfiler for uventede genstarter eller nedbrud, der kan tyde på forsøg på udnyttelse.
- Har I ikke ressourcer til at gennemgå adgangsstyring og opdatering selv, bør I søge hjælp fra en it-sikkerhedsleverandør.
Opdatér ved næste planlagte vedligeholdelsesvindue
Vi anbefaler, at I opdaterer QuTS hero til den rettede version som en del af jeres normale opdateringsrutine. Da udnyttelse kræver administratoradgang, er det mest presserende at sikre, at administratorkonti er beskyttet med stærke kodeord og to-faktor-godkendelse. Det er acceptabelt at vente til næste planlagte vedligeholdelsesvindue, forudsat at administratoradgangen allerede er godt sikret og enheden ikke er direkte tilgængelig fra internettet.
Tidslinje
Konkrete eksempler
Kompromitteret administratorkonto lammer backup
En dansk produktionsvirksomhed genbruger et administratorkodeord til deres QNAP NAS-enhed på tværs af flere systemer. Kodeordet lækkes via en anden tjeneste, og en angriber logger ind som administrator og udnytter fejlen til at lukke NAS-enheden ned. Virksomhedens natlige backup fejler, og it-afdelingen opdager først problemet, da medarbejdere ikke kan tilgå delte filer den følgende morgen.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I bruger QNAP NAS-enheder med QuTS hero i en af de nævnte versionsintervaller. Tjek jeres nuværende build-nummer i administrationsgrænsefladen under systemoplysninger.
Hvordan tjekker vi vores version?
Log ind på NAS-enhedens administrationsgrænseflade og find styresystemversionen under kontrolpanel eller systeminformation. Sammenlign den med de fikserede versioner i denne artikel.
Kan vi vente til weekenden med at opdatere?
Ja, hvis administratoradgangen er velbeskyttet med stærke kodeord og to-faktor-godkendelse, og enheden ikke er tilgængelig direkte fra internettet. Er en af de forudsætninger ikke opfyldt, bør opdateringen prioriteres hurtigere.
Skal vi anmelde hændelsen?
Der er ikke tale om en kendt sikkerhedshændelse, men om en sårbarhed, der endnu ikke er udnyttet hos jer. Opdager I tegn på uautoriseret adgang eller nedbrud, der ikke kan forklares, bør I følge jeres interne procedure for hændelseshåndtering.
Kræver angrebet, at nogen klikker på noget?
Nej, sårbarheden kræver ingen brugerhandling. Den kræver derimod, at angriberen allerede har fået fat i en administratorkonto på NAS-enheden.
Hvad sker der, hvis vi ikke opdaterer?
Hvis en administratorkonto bliver kompromitteret, kan angriberen bruge fejlen til at lukke NAS-enheden ned, hvilket kan afbryde fildeling og backup, indtil systemet genoprettes.
Ramte produkter
Qnap: Quts Hero
≥ h5.2.0.2737, < h5.2.9.3410
Qnap: Quts Hero
≥ h5.3.0.3115, < h5.3.4.3500
Qnap: Quts Hero
≥ h6.0.0.3324, < h6.0.0.3459
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A NULL pointer dereference vulnerability has been reported to affect several QNAP operating system versions. If a remote attacker gains an administrator account, they can then exploit the vulnerability to launch a denial-of-service (DoS) attack.
We have already fixed the vulnerability in the following versions:
QuTS hero h5.2.9.3410 build 20260214 and later
QuTS hero h5.3.4.3500 build 20260520 and later
QuTS hero h6.0.0.3459 build 20260409 and later
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.