CVE-2020-2509criticalbajo ataqueCWE-77CWE-78

CVE-2020-2509: fallo crítico en QNAP Systems Inc. QTS

Command Injection Vulnerability in QTS and QuTS hero

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear QTS+ Monitorear QuTS hero

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

90Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 9.8epss 34%
de la publicación al arma466 días
Publicada en NVD17 abr
1ª PoC+466d
CISA KEV+359d
Acción exigida por CISAplazo federal: 2022-05-02

Apply updates per vendor instructions.

En resumen

Un fallo en los sistemas operacionales QTS y QuTS hero permite que atacantes ejecuten comandos no autorizados en dispositivos afectados. Es crítico porque puede darle al atacante control total del sistema.

Detalle técnico

Vulnerabilidad de inyección de comandos en QTS y QuTS hero permite que atacantes ejecuten comandos arbitrarios del sistema operativo a través de validación insuficiente de entrada en parámetros de la aplicación. La explotación exitosa resulta en compromiso total del sistema con ejecución de código sin restricciones.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

A command injection vulnerability has been reported to affect QTS and QuTS hero. If exploited, this vulnerability allows attackers to execute arbitrary commands in a compromised application. We have already fixed this vulnerability in the following versions: QTS 4.5.2.1566 Build 20210202 and later QTS 4.5.1.1495 Build 20201123 and later QTS 4.3.6.1620 Build 20210322 and later QTS 4.3.4.1632 Build 20210324 and later QTS 4.3.3.1624 Build 20210416 and later QTS 4.2.6 Build 20210327 and later QuTS hero h4.5.1.1491 build 20201119 and later
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
QNAP Systems Inc. · QTSQNAP Systems Inc. · QuTS hero
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — QNAP Systems Inc. QTS

En el mismo producto, de las más peligrosas a las menos.

CVE-2018-19953MEDIUMCVE-2018-19953EPSS 30.5%KEVCVE-2018-19949CRITICALCVE-2018-19949EPSS 30.2%KEVCVE-2018-19943HIGHCVE-2018-19943EPSS 22.7%KEVCVE-2023-47218MEDIUMQTS, QuTS hero, QuTScloudEPSS 89.9%CVE-2023-51364HIGHQTS, QuTS hero, QuTScloudEPSS 39.7%CVE-2024-27130HIGHQTS, QuTS heroEPSS 37.5%