CVE-2019-7194criticalbajo ataqueransomwareCWE-22

CVE-2019-7194: fallo crítico en QNAP NAS devices running Photo Station

Publicada el · Actualizada el

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.8epss 83%
de la publicación al arma0 días
Publicada en NVD5 dic
metasploit25 nov
CISA KEV+916d
probabilidad de explotación
83%top 1% de las CVE
explotación observada
síCISA + VulnCheck
1 exploit(s) público(s)
Acción exigida por CISAplazo federal: 2022-06-22

Apply updates per vendor instructions.

En resumen

Un defecto en Photo Station permite que atacantes remotos lean o modifiquen archivos importantes del sistema QNAP controlando rutas de archivo. Es crítico porque puede comprometer la seguridad y los datos del dispositivo completo.

Detalle técnico

Vulnerabilidad de traversal de directorio (CWE-22) en Photo Station de QNAP permite que atacantes remotos accedan o modifiquen archivos arbitrarios del sistema mediante parámetros de ruta de archivo sin validar. No hay precondiciones especiales requeridas; la explotación resulta en compromiso completo del sistema con alto impacto en confidencialidad, integridad y disponibilidad.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

This external control of file name or path vulnerability allows remote attackers to access or modify system files. To fix the vulnerability, QNAP recommend updating Photo Station to their latest versions.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
n/a · QNAP NAS devices running Photo Station
PoCs públicas encontradas — 1
cve_referencepacketstormsecurity.com/files/157857/QNAP-QTS-And-Photo-Station-6.0.3-Remote-Command-Execution.htmlno verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
Referencias
http://packetstormsecurity.com/files/157857/QNAP-QTS-And-Photo-Station-6.0.3-Remote-Command-Execution.htmlhttps://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-7194https://www.qnap.com/zh-tw/security-advisory/nas-201911-25