CVE-2026-24723: NULL pointer dereference в utilRequest.cgi QNAP File Station 5

В начале 2026 года в официальном реестре CVE была опубликована информация об уязвимости CVE-2026-24723, затрагивающей популярное файловое веб-приложение File Station 5 от QNAP Systems Inc. Уязвимость относится к классу NULL pointer dereference (разыменование нулевого указателя) и позволяет нарушителю спровоцировать отказ в обслуживании (DoS) целевой системы.

Подробности

Уязвимость затрагивает компонент utilRequest.cgi приложения File Station 5 — встроенного файлового менеджера, входящего в состав операционной системы QTS и позволяющего пользователям управлять файлами через веб-интерфейс. Согласно описанию производителя, проблема возникает при обработке определённых запросов, что приводит к разыменованию нулевого указателя и, как следствие, к аварийному завершению процесса или нестабильной работе сервиса.

Для эксплуатации уязвимости удалённому атакующему необходимо предварительно получить действующую учётную запись пользователя на устройстве. Это снижает вероятность массовых атак, однако в сценариях с украденными или скомпрометированными учётными данными, а также в многоtenant-средах риск существенно возрастает. Наличие аутентификации не отменяет угрозу: даже низкопривилегированный пользователь может воспользоваться уязвимостью для нарушения доступности сервиса, что критично для организаций, использующих QNAP NAS в качестве файлового хранилища или резервного узла.

Уязвимости присвоен базовый балл CVSS 5.3, что соответствует среднему уровню критичности. Вектор атаки — сетевой, сложность эксплуатации низкая, требования к привилегиям и взаимодействию с пользователем повышают итоговую оценку только до среднего значения. Несмотря на отсутствие риска выполнения произвольного кода или утечки данных, DoS-атака способна нарушить бизнес-процессы и привести к временной недоступности файловых ресурсов.

Производитель подтвердил наличие проблемы и выпустил исправление в версии File Station 5 5.5.6.5243 и более поздних. На момент публикации CVE сведений о фактах активной эксплуатации уязвимости в дикой природе не поступало.

Что делать

Рекомендуется как можно скорее обновить File Station 5 до версии 5.5.6.5243 или более новой. Обновление доступно через центр обновлений QTS или официальный сайт QNAP. Если немедленное обновление невозможно, следует рассмотреть следующие меры:

• ограничить доступ к веб-интерфейсу File Station 5 доверенными сегментами сети и IP-адресами;
• убедиться, что все учётные записи пользователей защищены сложными паролями и, где возможно, многофакторной аутентификацией;
• регулярно проверять журналы доступа на предмет подозрительной активности и аномальных запросов к utilRequest.cgi;
• минимизировать количество пользователей с доступом к File Station, следуя принципу наименьших привилегий;
• разместить NAS в изолированном сетевом сегменте и не публиковать веб-интерфейс напрямую в интернет.

Важно учитывать, что компрометация даже одной пользовательской учётной записи открывает путь к эксплуатации данной уязвимости, поэтому контроль доступа и мониторинг аутентификации остаются ключевыми элементами защиты.

Уязвимость CVE-2026-24723 не является критичной, однако демонстрирует важность своевременного обновления встроенных компонентов NAS-систем. DoS-атаки способны нарушить доступность критичных файловых сервисов и затянуть восстановление рабочих процессов. Компаниям, использующим QNAP File Station 5, следует незамедлительно установить актуальную версию 5.5.6.5243, а также пересмотреть политики доступа к NAS и включить дополнительные уровни защиты учётных записей.

Источник: CVE Project (cvelistV5)