CVE-2025-66273: Kommandoinjektion i QNAP QTS/QuTS hero
Kommandoinjektion i QNAP QTS og QuTS hero lader en administrator køre vilkårlige kommandoer på NAS-enheden. Opdatér styresystemet.
Hvad er det?
CVE-2025-66273 er en sårbarhed af typen kommandoinjektion, hvor styresystemet sender ukontrolleret input videre til den underliggende kommandolinje, i styresystemerne QTS og QuTS hero til QNAP NAS-enheder (netværksdrev til fildeling og backup). En bruger, der allerede har fået adgang til en administratorkonto, kan udnytte fejlen til at få enheden til at udføre vilkårlige systemkommandoer og dermed opnå fuld kontrol over enheden og de data, den indeholder.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der bruger QNAP NAS-enheder til fildeling, backup eller videoovervågning. Konkret er følgende versioner ramt: QTS fra 5.2.0.2737 til før 5.2.9.3410, QuTS hero fra h5.2.0.2737 til før h5.2.9.3410, QuTS hero fra h5.3.0.3115 til før h5.3.4.3500 og QuTS hero fra h6.0.0.3324 til før h6.0.0.3397. Har jeres enhed en nyere version end de nævnte, er I ikke ramt.
Hvad kan ske?
Får en angriber fat i en administratorkonto, for eksempel via en svag adgangskode eller stjålne loginoplysninger, kan vedkommende bruge fejlen til at køre kommandoer direkte på NAS-enhedens styresystem. I praksis betyder det, at angriberen kan læse, ændre eller slette alle filer på enheden, installere skadelig kode eller bruge enheden som springbræt videre ind i netværket. For en dansk virksomhed kan det ramme både forretningskritiske filer og backup, hvis begge ligger på samme NAS-enhed.
Hvor alvorligt er det?
CVSS-scoren er 7,2 ud af 10, kategoriseret som alvorlig. Angrebet kræver, at angriberen allerede har en administratorkonto på NAS-enheden, hvilket begrænser, hvem der kan udnytte fejlen direkte. Det kræver ikke, at en bruger klikker på noget eller foretager en handling, og kan udføres over netværket med lav kompleksitet. Lykkes angrebet, får angriberen fuld adgang til fortrolighed, integritet og tilgængelighed af data på enheden. Der er ingen kendte tilfælde af aktivt misbrug pr. offentliggørelsesdatoen.
Hvad gør jeg nu?
Følg disse skridt for at lukke hullet og begrænse risikoen fremover:
- Opdatér jeres QNAP-enhed til den rettede version: QTS 5.2.9.3410 build 20260214 eller nyere, QuTS hero h5.2.9.3410 build 20260214 eller nyere, QuTS hero h5.3.4.3500 build 20260520 eller nyere, eller QuTS hero h6.0.0.3397 build 20260206 eller nyere, afhængigt af hvilken version I kører.
- Gennemgå alle administratorkonti på enheden, fjern konti der ikke bruges, og skift adgangskoder på de resterende.
- Aktivér to-faktor-godkendelse på administratorkonti, hvis det ikke allerede er gjort.
- Begræns adgangen til NAS-enhedens administrationsgrænseflade, så den ikke er tilgængelig direkte fra internettet.
- Gennemgå logs for unormal administratoraktivitet i perioden op til opdateringen.
- Har I ikke selv en it-afdeling, der kan verificere opdateringen eller undersøge logs, bør I hente hjælp udefra til at gennemføre opdateringen og tjekke for tegn på misbrug.
Opdatér inden for 14 dage
Vi anbefaler, at I opdaterer jeres QNAP NAS-enheder til de rettede versioner snarest, og at I samtidig gennemgår, hvem der har administratorrettigheder. Da udnyttelse kræver, at angriberen allerede har en administratorkonto, er det acceptabelt at vente få dage, hvis jeres administratorkonti er beskyttet med stærke adgangskoder og to-faktor-godkendelse. Vi fraråder dog at lade opdateringen vente længere end nødvendigt, da konsekvensen ved udnyttelse er fuld kontrol over enheden.
Tidslinje
Konkrete eksempler
Kompromitteret administratorkonto på fildeling
En medarbejder i en dansk produktionsvirksomhed genbruger sin administratoradgangskode til NAS-enheden på flere tjenester. Adgangskoden lækkes i et andet datalæk, og en angriber logger ind som administrator. Angriberen udnytter kommandoinjektionsfejlen til at installere skadelig kode på NAS-enheden, som både indeholder virksomhedens filer og den daglige backup.
Ofte stillede spørgsmål
Er vi ramt af CVE-2025-66273?
I er ramt, hvis jeres NAS-enhed kører QTS fra 5.2.0.2737 til før 5.2.9.3410, eller QuTS hero i et af de nævnte versionsintervaller. Tjek den installerede version i styresystemets kontrolpanel under systeminformation.
Hvordan tjekker vi, om vores QNAP-enhed er opdateret?
Log ind på NAS-enhedens administrationsgrænseflade, gå til Kontrolpanel og derefter Firmwareopdatering. Her kan I se den aktuelle version og opdatere til den nyeste rettede version.
Kan vi vente til weekenden med at opdatere?
Er jeres administratorkonti sikret med stærke adgangskoder og to-faktor-godkendelse, og har I ikke eksponeret administrationsgrænsefladen direkte mod internettet, kan I vente få dage. Vi anbefaler alligevel at opdatere så hurtigt som praktisk muligt.
Skal vi anmelde sårbarheden til Datatilsynet?
Nej, en sårbarhed alene skal ikke anmeldes. Finder I derimod tegn på, at persondata er blevet kompromitteret som følge af udnyttelse, kan der være anmeldepligt efter databeskyttelsesreglerne, og I bør vurdere dette konkret.
Hvad hvis vi ikke selv kan opdatere styresystemet?
Kontakt jeres it-leverandør eller en ekstern sikkerhedsrådgiver, som kan gennemføre opdateringen og samtidig gennemgå administratorkonti og adgangskontrol på enheden.
Er sårbarheden udnyttet i praksis?
Der er pr. offentliggørelsesdatoen ingen kendte tilfælde af aktivt misbrug af CVE-2025-66273. Det ændrer ikke ved, at fejlen bør rettes, da forudsætningen for udnyttelse, en kompromitteret administratorkonto, er en realistisk trussel for mange virksomheder.
Ramte produkter
Qnap: Qts
≥ 5.2.0.2737, < 5.2.9.3410
Qnap: Quts Hero
≥ h5.2.0.2737, < h5.2.9.3410
Qnap: Quts Hero
≥ h5.3.0.3115, < h5.3.4.3500
Qnap: Quts Hero
≥ h6.0.0.3324, < h6.0.0.3397
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A command injection vulnerability has been reported to affect several QNAP operating system versions. If a remote attacker gains an administrator account, they can then exploit the vulnerability to execute arbitrary commands.
We have already fixed the vulnerability in the following versions:
QTS 5.2.9.3410 build 20260214 and later
QuTS hero h5.2.9.3410 build 20260214 and later
QuTS hero h5.3.4.3500 build 20260520 and later
QuTS hero h6.0.0.3397 build 20260206 and later
Referencer & kilder
Officielle advisories
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.