CVE-2025-66280: Alvorlig fejl i QNAP QTS og QuTS hero

QNAP har rettet en sårbarhed i styresystemerne QTS og QuTS hero, som kører på virksomhedens NAS-enheder til fildeling og backup (CVE-2025-66280). Fejlen er et såkaldt heltalsoverløb, hvor et program regner videre med et tal, der er blevet for stort til at passe i den hukommelse, det er tildelt. Det kan medføre et bufferoverløb, hvor data skriver ud over den plads, de burde have, og dermed kan give en angriber mulighed for at ændre systemets opførsel. I dette tilfælde kræver udnyttelse, at angriberen allerede har fået fat i en administratorkonto på NAS-enheden. Derfra kan sårbarheden bruges til at kompromittere hele systemets sikkerhed, herunder fortrolighed, integritet og tilgængelighed af data.

Sårbarheden rammer QNAP-NAS-enheder, der kører QTS fra version 5.2.0.2737 til før 5.2.9.3410, samt QuTS hero i versionerne h5.2.0.2737 til før h5.2.9.3410, h5.3.0.3115 til før h5.3.4.3500 og h6.0.0.3324 til før h6.0.0.3397. Det drejer sig typisk om danske virksomheders og kommuners netværksdrev, som bruges til fildeling, backup og videoovervågningsoptagelser. Alle organisationer med en QNAP-enhed bør tjekke deres installerede firmwareversion.

Hvis en angriber allerede har fået adgang til en administratorkonto, for eksempel via genbrugte eller svage adgangskoder, kan sårbarheden bruges til at få fuld kontrol over NAS-enheden. Det kan betyde adgang til alle lagrede filer, mulighed for at slette eller kryptere backup-data, og i værste fald at enheden bruges som adgangsvej videre ind i virksomhedens netværk. For en dansk virksomhed, der opbevarer regnskabsdata, kundeoplysninger eller backup på en QNAP-enhed, kan det betyde tab af data og driftsstop.

CVSS-scoren er 7,2 ud af 10, vurderet som alvorlig. Angrebet kan udføres over netværket uden brugerinteraktion og med lav teknisk kompleksitet, men det kræver, at angriberen allerede har opnået høje rettigheder i form af en administratorkonto. Det betyder, at sårbarheden ikke kan udnyttes af en tilfældig angriber udefra, men den er farlig, hvis admin-adgang først er kompromitteret, for eksempel via phishing eller genbrugte adgangskoder. Der er ikke rapporteret aktiv udnyttelse eller offentligt tilgængelig kode til at udnytte fejlen.

Følgende trin lukker hullet og reducerer risikoen for, at det kan udnyttes:

1. Opdatér QTS eller QuTS hero til den rettede version: QTS 5.2.9.3410 build 20260214 eller nyere, QuTS hero h5.2.9.3410 build 20260214 eller nyere, h5.3.4.3500 build 20260520 eller nyere, eller h6.0.0.3397 build 20260206 eller nyere.
2. Gennemgå alle administratorkonti på NAS-enheden, og skift adgangskoder, der er svage, genbrugte eller ikke ændret i lang tid.
3. Aktivér totrinsbekræftelse på administratorkonti, hvis QNAP-enheden understøtter det.
4. Begræns adgang til NAS-administrationsgrænsefladen, så den ikke er tilgængelig direkte fra internettet.
5. Tjek loginlogs for usædvanlig administratoraktivitet i perioden før opdateringen.
6. Kontakt en ekstern sikkerhedsrådgiver, hvis I ikke selv har ressourcer til at gennemgå adgangsstyring og logs, eller hvis I mistænker, at en administratorkonto allerede er kompromitteret.