CVE-2026-44083: Kritisk fejl i QNAP QuMagie
Kritisk fejl i QNAP QuMagie lader angribere tilgå andre brugeres billeder uden login. Opdatér til version 2.9.1.
Hvad er det?
CVE-2026-44083 er en autorisationsfejl i QNAP QuMagie, et program til at organisere og dele billeder på QNAP NAS-enheder, netværksdrev der bruges til fildeling og backup. Fejlen skyldes, at systemet stoler på en nøgle eller et id, som brugeren selv kan ændre, i stedet for at tjekke, om personen faktisk har ret til den pågældende ressource. Det kaldes en autorisationsomgåelse via brugerkontrolleret nøgle. En angriber kan derfor ændre en værdi i en forespørgsel og på den måde få adgang til billeder, albummer eller andre data, som tilhører en anden bruger på samme NAS.
Hvem rammer det?
Sårbarheden rammer alle QNAP NAS-enheder, der kører QuMagie i version 2.9.0 eller ældre. QuMagie bruges typisk af mindre virksomheder og private til at gemme og dele fotos og videoer centralt på et netværksdrev. Er QuMagie installeret og tilgængeligt fra internettet, er risikoen størst, men enheder på det interne netværk er også udsatte, hvis en angriber først har fået fodfæste et andet sted i netværket.
Hvad kan ske?
En angriber kan uden at logge ind eller udføre nogen handling fra en bruger få adgang til andre brugeres billeder og albummer på NAS-enheden. Det kan afsløre personfølsomme oplysninger, for eksempel private fotos af medarbejdere eller kunder, og i nogle tilfælde give mulighed for at ændre eller slette data. For en dansk virksomhed betyder det risiko for brud på persondata, som kan udløse anmeldelsespligt til Datatilsynet.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ingen login, ingen adgangskode og ingen handling fra en bruger. Det kan udføres over netværket, og angrebet er nemt at gennemføre teknisk. Der er ikke oplyst tegn på, at sårbarheden er udnyttet i praksis endnu, men den lave kompleksitet betyder, at det kan ændre sig hurtigt, når fejlen er offentligt kendt.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen:
- Opdatér QuMagie til version 2.9.1 eller nyere på alle QNAP NAS-enheder.
- Tjek i QNAP App Center, hvilken version af QuMagie der kører, hvis I er i tvivl.
- Begræns adgang til NAS-enhedens administrationsgrænseflade og QuMagie, så den ikke er direkte tilgængelig fra internettet.
- Gennemgå adgangslogs for usædvanlige forespørgsler mod fotoalbummer i perioden før opdateringen.
- Vurdér, om der er sket adgang til personfølsomme billeder, og om det udløser anmeldelsespligt efter databeskyttelsesreglerne.
- Kontakt en it-sikkerhedsrådgiver, hvis I ikke selv kan verificere, om NAS-enheden har været udsat, eller hvis I finder tegn på misbrug.
Opdatér inden for få dage
Vi anbefaler, at I opdaterer QuMagie til version 2.9.1 hurtigst muligt, da opdateringen allerede findes og fejlen er kritisk og let at udnytte. Det er ikke forsvarligt at vente til en planlagt vedligeholdelsesrunde, da angrebet kræver hverken login eller brugerinteraktion. Er QuMagie ikke i brug på jeres NAS, kan I med fordel deaktivere eller afinstallere appen helt.
Tidslinje
Konkrete eksempler
Fotoalbum lækket fra kontorets NAS
En mindre dansk virksomhed bruger en QNAP NAS med QuMagie til at dele fotos fra firmaarrangementer med medarbejderne. En angriber finder NAS-enheden tilgængelig fra internettet og ændrer et id i en forespørgsel for at tilgå private albummer, som tilhører andre medarbejdere, uden at logge ind. Billederne, herunder private optagelser fra en personalefest, bliver dermed tilgængelige for udenforstående, hvilket udløser en vurdering af anmeldelsespligt efter databeskyttelsesreglerne.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I bruger en QNAP NAS-enhed med QuMagie installeret i version 2.9.0 eller ældre. Tjek versionen i App Center på NAS-enhedens administrationsside.
Hvordan tjekker vi, om vi er blevet udnyttet?
Gennemgå adgangslogs i QuMagie og QNAP’s systemlog for usædvanlige forespørgsler mod billed-id’er, særligt fra ukendte ip-adresser. Er I i tvivl, kan en ekstern sikkerhedsgennemgang afklare det.
Kan vi vente med at opdatere til efter weekenden?
Det frarådes. Sårbarheden kræver hverken login eller brugerhandling, og angrebet kan udføres automatisk. Opdatér inden weekenden, hvis det er muligt.
Skal vi anmelde noget til Datatilsynet?
Hvis I finder tegn på, at persondata i billeder eller albummer er blevet tilgået uretmæssigt, skal I vurdere anmeldelsespligt efter databeskyttelsesforordningen. Ved tvivl bør I inddrage jeres databeskyttelsesrådgiver.
Er vi beskyttet, hvis NAS-enheden kun bruges internt?
Internt netværk reducerer risikoen, men beskytter ikke fuldt ud, hvis en angriber allerede har adgang til netværket via en anden sårbarhed eller kompromitteret enhed. Opdatering er stadig nødvendig.
Hvad koster det at vente med opdateringen?
Jo længere I venter, desto større er risikoen for, at sårbarheden bliver udnyttet, da den er offentligt kendt og teknisk enkel at udnytte. En dataeksponering kan koste langt mere i omdømme og bøder end den tid, det tager at opdatere.
Ramte produkter
Qnap: Qumagie
< 2.9.0
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
An authorization bypass through user-controlled key vulnerability has been reported to affect QuMagie. The remote attackers can then exploit the vulnerability to gain unintended privileges.
We have already fixed the vulnerability in the following version:
QuMagie 2.9.1 and later
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.