CVE-2025-66281: Nedbrudsfejl i QNAP QTS og QuTS hero

CVE-2025-66281 er en fejltype, der kaldes en NULL pointer dereference. Det betyder, at programmet i visse situationer forsøger at bruge en reference til data, som slet ikke findes. Når det sker, går programmet ned. I QNAP’s styresystemer QTS og QuTS hero kan en angriber med adgang til systemet udnytte fejlen over netværket til at fremkalde et sådant nedbrud, kendt som denial-of-service. Konsekvensen er, at NAS-enheden, altså netværksdisken, stopper med at svare, indtil den genstartes eller repareres.

Sårbarheden rammer QNAP QTS fra version 5.2.0.2737 til før 5.2.9.3410, samt QuTS hero fra h5.2.0.2737 til før h5.2.9.3410, fra h5.3.0.3115 til før h5.3.4.3500 og fra h6.0.0.3324 til før h6.0.0.3397. Det gælder virksomheder og kommuner, der bruger QNAP NAS-enheder til fildeling, backup eller videoovervågning, og hvor styresystemet ikke er opdateret til de rettede versioner.

Hvis en person med forhøjede rettigheder på systemet udnytter fejlen, går NAS-enheden ned. For en dansk virksomhed betyder det, at fildeling, backup-jobs og eventuelle netværksdrev, som medarbejdere er afhængige af, holder op med at virke, indtil enheden genstartes manuelt. Sker det på en enhed, der også kører backup om natten, kan man opdage tabet af data først dagen efter.

CVSS-scoren er 7,2 ud af 10, hvilket er alvorligt. Angrebet kræver ikke, at en bruger klikker på noget, men det kræver, at angriberen allerede har høje rettigheder på systemet, altså en administratorlignende konto. Det gør sårbarheden mest relevant, hvis en ondsindet medarbejder, en kompromitteret administratorkonto eller en angriber, der allerede har fået fodfæste, forsøger at genere driften. Der er ikke oplysninger om, at fejlen er udnyttet i praksis på tidspunktet for offentliggørelsen.

Sådan lukker I hullet og reducerer risikoen for nedbrud:

1. Opdatér QTS eller QuTS hero til den rettede version: QTS 5.2.9.3410 build 20260214 eller nyere, QuTS hero h5.2.9.3410 build 20260214 eller nyere, QuTS hero h5.3.4.3500 build 20260520 eller nyere, eller QuTS hero h6.0.0.3397 build 20260206 eller nyere.
2. Gennemgå, hvem der har administratoradgang til NAS-enheden, og fjern konti, der ikke længere har brug for adgangen.
3. Skift adgangskoder på administratorkonti, hvis I er i tvivl om, om de er delt eller genbrugt andre steder.
4. Sørg for, at NAS-administrationsgrænsefladen ikke er tilgængelig direkte fra internettet.
5. Tjek, at automatiske backup-jobs stadig kører korrekt efter opdateringen.
6. Er I i tvivl om, hvordan I planlægger opdateringen uden at forstyrre driften, eller mangler I overblik over jeres QNAP-enheder, så inddrag en it-sikkerhedsrådgiver.