CVE-2026-24724: Adgangsfejl i QNAP File Station
QNAP File Station har en adgangskontrolfejl, der lader en logget bruger læse og ændre andre brugeres filer. Opdatér til 5.5.6.5243.
Hvad er det?
CVE-2026-24724 er en fejl i adgangskontrollen (CWE-863: incorrect authorization) i QNAP File Station 6, det filstyringsprogram der følger med QNAP’s netværksdrev (NAS-enheder). Fejlen betyder, at systemet ikke kontrollerer korrekt, om en bruger faktisk har ret til at tilgå bestemte filer og mapper. En bruger, der allerede har en almindelig brugerkonto på NAS-enheden, kan derfor omgå de begrænsninger, administratoren har sat op, og få adgang til data, vedkommende ikke skulle kunne se eller ændre. Fejlen ligger i selve rettighedstjekket, ikke i login-processen, så en gyldig konto er nok til at udnytte den.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der bruger QNAP NAS-enheder med File Station 5 i version 5.5.6.4691 til og med versioner før 5.5.6.5243. Det gælder typisk mindre og mellemstore virksomheder, der bruger en QNAP-boks som fælles fildrev til dokumenter, backup eller mediefiler, og hvor flere medarbejdere har hver deres brugerkonto på enheden.
Hvad kan ske?
En medarbejder eller ekstern samarbejdspartner, der har en almindelig brugerkonto på NAS-enheden, kan udnytte fejlen til at læse og ændre filer, vedkommende normalt ikke har adgang til. Det kan være personoplysninger, kontrakter, lønfiler eller andre fortrolige dokumenter, der ligger i mapper med begrænset adgang. Fejlen giver ikke adgang til at slette eller lukke systemet ned, men fortrolighed og dataintegritet er i fare.
Hvor alvorligt er det?
CVSS-score er 8,1 ud af 10, hvilket er alvorligt. Angrebet kræver, at man har en gyldig brugerkonto med lave rettigheder (PR:L), men ingen handling fra offeret (UI:N) og kan udføres over netværket. Konsekvensen er høj for fortrolighed og integritet, mens tilgængeligheden af systemet ikke påvirkes. Der er ikke rapporteret om aktiv udnyttelse af sårbarheden på offentliggørelsesdatoen.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen, mens I opdaterer:
- Opdatér File Station til version 5.5.6.5243 eller nyere. Det lukker selve adgangsfejlen.
- Gennemgå, hvilke brugerkonti der har adgang til NAS-enheden, og fjern konti, der ikke længere er i brug.
- Kontrollér mappe- og filrettigheder på File Station, så kun de rigtige medarbejdere har adgang til fortrolige mapper.
- Tjek adgangslogs for File Station for usædvanlig aktivitet i perioden før opdateringen.
- Sørg for, at NAS-enheden ikke er tilgængelig direkte fra internettet uden en sikker forbindelse (VPN).
- Kontakt en it-sikkerhedsrådgiver, hvis I ikke selv kan verificere, at opdateringen er installeret korrekt, eller hvis I finder tegn på misbrug.
Opdatér inden for 7 dage
Vi anbefaler at opdatere alle QNAP File Station-installationer til version 5.5.6.5243 eller nyere inden for en uge, især hvis NAS-enheden bruges af flere medarbejdere eller er tilgængelig uden for det lokale netværk. Det er i orden at vente til den næste planlagte vedligeholdelsesvindue, hvis enheden kun bruges af en enkelt betroet administrator og ikke er tilgængelig udefra. Er I i tvivl om, hvilke rettigheder jeres nuværende brugere har, bør I gennemgå det, før I lukker sagen.
Tidslinje
Konkrete eksempler
Medarbejder får adgang til HR-mapper
En mindre dansk virksomhed bruger en QNAP NAS-enhed som fælles drev, hvor HR-afdelingen har en mappe med lønsedler og ansættelseskontrakter, som kun skulle være tilgængelig for to personer. En almindelig medarbejder med sin egen brugerkonto på NAS-enheden udnytter adgangsfejlen i File Station til at åbne mappen og læse kollegernes lønoplysninger, uden at det logges som et forsøg på uautoriseret adgang.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis jeres QNAP NAS-enhed kører File Station 5 i version 5.5.6.4691 eller nyere, men før 5.5.6.5243. Tjek versionsnummeret i File Station-indstillingerne eller under systemopdateringer i NAS-administrationen.
Hvordan tjekker vi, om vi er opdateret?
Log ind på NAS-enhedens administrationsside, gå til App Center eller Control Panel, og find File Station. Der vil versionsnummeret stå. Er det 5.5.6.5243 eller nyere, er I sikre på dette punkt.
Kan vi vente til weekenden med at opdatere?
Hvis NAS-enheden kun bruges af en enkelt administrator og ikke er tilgængelig fra internettet, kan det være i orden at vente kort tid. Har flere medarbejdere eller eksterne konti adgang, bør opdateringen ske hurtigst muligt.
Skal vi anmelde dette til Datatilsynet?
Sårbarheden i sig selv udløser ikke en anmeldelsespligt. Finder I tegn på, at persondata faktisk er blevet tilgået uretmæssigt af en bruger, skal I vurdere sagen som et muligt sikkerhedsbrud efter databeskyttelsesreglerne.
Kræver angrebet, at hackeren allerede har adgang til vores netværk?
Angrebet kræver en gyldig brugerkonto på NAS-enheden med lave rettigheder, men det kan udføres over netværket. Det betyder, at både interne medarbejdere og eksterne parter med en konto på systemet potentielt kan udnytte det.
Påvirker opdateringen vores eksisterende filer og indstillinger?
Opdatering af File Station ændrer normalt ikke jeres filer eller mappestruktur. Vi anbefaler dog altid en backup, før I foretager systemopdateringer på en NAS-enhed.
Ramte produkter
Qnap: File Station
≥ 5.5.6.4691, < 5.5.6.5243
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
An incorrect authorization vulnerability has been reported to affect File Station 6. If a remote attacker gains a user account, they can then exploit the vulnerability to bypass intended access restrictions.
We have already fixed the vulnerability in the following version:
File Station 5 5.5.6.5243 and later
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.