CVE-2025-66279: Kommandoinjektion i QNAP QTS og QuTS hero
QNAP har rettet en kommandoinjektionsfejl i QTS og QuTS hero, som en administratorkonto kan udnytte til at køre vilkårlige kommandoer. Opdatér NAS-enheden.
Hvad er det?
CVE-2025-66279 er en sårbarhed af typen kommandoinjektion (CWE-78) i styresystemerne QTS og QuTS hero til QNAP’s NAS-enheder, netværksdrev der ofte bruges til fildeling og backup. Kommandoinjektion betyder, at systemet ikke renser data korrekt, før det sender dem videre til styresystemets kommandolinje. En angriber, der allerede har fået fat i en administratorkonto på enheden, kan derfor sende specielt formaterede kommandoer, som styresystemet udfører uden videre. Fejlen kræver ikke, at en bruger klikker på noget eller foretager sig andet, men den kræver, at angriberen først har opnået administratoradgang, for eksempel gennem et stjålet kodeord.
Hvem rammer det?
Sårbarheden rammer QNAP-enheder, der kører QTS version 5.2.0.2737 til før 5.2.9.3410, samt QuTS hero i versionerne h5.2.0.2737 til før h5.2.9.3410, h5.3.0.3115 til før h5.3.4.3500 og h6.0.0.3324 til før h6.0.0.3397. Det drejer sig typisk om QNAP NAS-enheder, som danske virksomheder og kommuner bruger til fildeling, backup og videoovervågningslagring. Alle organisationer med en berørt QNAP-enhed tilgængelig fra netværket, herunder enheder der er eksponeret mod internettet via fjernadgang, bør tjekke deres version.
Hvad kan ske?
Hvis en angriber først skaffer sig en administratorkonto, for eksempel via et genbrugt eller phishet kodeord, kan vedkommende bruge fejlen til at køre vilkårlige kommandoer med fulde rettigheder på NAS-enheden. I praksis betyder det adgang til alle filer på enheden, mulighed for at installere skadelig software eller ransomware, og risiko for at enheden bruges som adgangspunkt videre ind i virksomhedens netværk. For mange danske virksomheder ligger både produktionsdata og backup på samme type NAS-enhed, hvilket øger konsekvensen, hvis begge rammes samtidig.
Hvor alvorligt er det?
CVSS-scoren er 7,2 ud af 10, hvilket er alvorligt. Angrebet kan udføres over netværket og kræver ingen handling fra en bruger, men det forudsætter, at angriberen allerede har en administratorkonto på enheden. Det er den vigtigste begrænsning: uden gyldige administratorrettigheder kan fejlen ikke udnyttes direkte. Til gengæld er konsekvensen total, hvis en angriber først kommer forbi den barriere, da fortrolighed, integritet og tilgængelighed alle vurderes til høj påvirkning. Der er ikke oplysninger om, at sårbarheden er udnyttet i praksis endnu.
Hvad gør jeg nu?
Følgende skridt lukker hullet og reducerer risikoen for udnyttelse:
- Opdatér QTS eller QuTS hero til den rettede version: QTS 5.2.9.3410 build 20260214 eller nyere, QuTS hero h5.2.9.3410 build 20260214 eller nyere, h5.3.4.3500 build 20260520 eller nyere, eller h6.0.0.3397 build 20260206 eller nyere.
- Gennemgå alle administratorkonti på NAS-enheden og fjern konti, der ikke længere bruges.
- Skift kodeord til administratorkontoen og indfør flerfaktorgodkendelse, hvis QNAP-enheden understøtter det.
- Begræns adgang til enhedens administrationsflade, så den ikke er tilgængelig direkte fra internettet.
- Gennemgå logfiler for usædvanlig administratoraktivitet i perioden op til opdateringen.
- Kontakt en sikkerhedsrådgiver, hvis I mistænker, at en administratorkonto allerede er kompromitteret, eller hvis I ikke selv kan verificere jeres NAS-version.
Opdatér inden for 14 dage
Vi anbefaler, at I opdaterer jeres QNAP NAS-enheder til den rettede version inden for de kommende to uger, og at I samtidig strammer op på administratoradgang og kodeordshygiejne. Da udnyttelse kræver en kompromitteret administratorkonto, er det især vigtigt at sikre denne konto separat. Det er i orden at planlægge opdateringen til et nærtstående vedligeholdelsesvindue, forudsat at administratoradgangen ikke er eksponeret mod internettet, men vent ikke længere end nødvendigt, da fejlen giver fuld kontrol over enheden, hvis den udnyttes.
Tidslinje
Konkrete eksempler
Kompromitteret administratorkonto giver adgang til backupdata
En medarbejder i en dansk produktionsvirksomhed genbruger sit administratorkodeord til NAS-enheden på flere tjenester. Kodeordet lækkes i forbindelse med et databrud hos en ekstern webtjeneste, og en angriber logger ind på virksomhedens QNAP-enhed. Ved hjælp af kommandoinjektionsfejlen får angriberen fuld kontrol over enheden, hvor både produktionsdata og backupfiler ligger, og krypterer dem med ransomware.
Ofte stillede spørgsmål
Er vores virksomhed ramt?
I er ramt, hvis I bruger en QNAP NAS-enhed med QTS eller QuTS hero i en af de berørte versionsintervaller. Tjek versionen i administrationswebfladen under systemoplysninger, og sammenlign med de rettede versioner.
Kan vi vente med at opdatere til weekenden?
Det kommer an på, om jeres administrationsadgang er beskyttet og ikke eksponeret direkte mod internettet. Er den det, kan I sandsynligvis vente til et planlagt vedligeholdelsesvindue inden for få dage. Er administrationsfladen tilgængelig udefra, bør I opdatere hurtigst muligt.
Kræver angrebet, at nogen klikker på noget?
Nej. Fejlen kræver ingen brugerinteraktion, men den kræver, at angriberen allerede har fået fat i en administratorkonto på enheden, for eksempel gennem stjålne loginoplysninger.
Hvordan tjekker vi, om vores enhed allerede er kompromitteret?
Gennemgå logfiler for administratorlogin fra ukendte IP-adresser eller på usædvanlige tidspunkter, og se efter uventede ændringer i systemkonfiguration eller nye brugerkonti.
Skal vi anmelde hændelsen til myndighederne?
Hvis I konstaterer, at en administratorkonto er kompromitteret og data er kommet uvedkommende i hænde, kan I være forpligtet til at underrette Datatilsynet efter reglerne om persondatabeskyrelse. Kontakt jeres databeskyttelsesrådgiver for en konkret vurdering.
Er der en midlertidig løsning, hvis vi ikke kan opdatere med det samme?
Ja, som midlertidig afhjælpning kan I begrænse adgangen til administrationsfladen til jeres interne netværk eller VPN, og styrke kontrollen med administratorkonti, indtil opdateringen kan gennemføres.
Ramte produkter
Qnap: Qts
≥ 5.2.0.2737, < 5.2.9.3410
Qnap: Quts Hero
≥ h5.2.0.2737, < h5.2.9.3410
Qnap: Quts Hero
≥ h5.3.0.3115, < h5.3.4.3500
Qnap: Quts Hero
≥ h6.0.0.3324, < h6.0.0.3397
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A command injection vulnerability has been reported to affect several QNAP operating system versions. If a remote attacker gains an administrator account, they can then exploit the vulnerability to execute arbitrary commands.
We have already fixed the vulnerability in the following versions:
QTS 5.2.9.3410 build 20260214 and later
QuTS hero h5.2.9.3410 build 20260214 and later
QuTS hero h5.3.4.3500 build 20260520 and later
QuTS hero h6.0.0.3397 build 20260206 and later
Referencer & kilder
Officielle advisories
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.