Уязвимость NULL Pointer Dereference в networkRequest.cgi затрагивает QNAP QTS, QVP, QuTS cloud и QuTS hero (CVE-2025-62850)

Компания QNAP сообщила об уязвимости CVE-2025-62850, затрагивающей ряд её программных платформ: QTS, QVP, QuTS cloud и QuTS hero. Проблема относится к классу разыменования нулевого указателя (NULL pointer dereference) и локализована в компоненте networkRequest.cgi.

Подробности

Уязвимость присутствует в следующих продуктах QNAP Systems Inc.:

• QTS;
• QVP;
• QuTS cloud;
• QuTS hero.

Тип уязвимости — NULL pointer dereference. Согласно описанию, для эксплуатации удалённому атакующему необходимо сначала получить учётную запись администратора. При наличии таких привилегий злоумышленник может использовать уязвимость для запуска атаки типа «отказ в обслуживании» (DoS). Базовый балл CVSS составляет 1.2, что соответствует уровню LOW. Столь низкая оценка обусловлена высокими требованиями к условиям эксплуатации: атакующему нужны административные права, а последствия ограничиваются нарушением доступности, без влияния на конфиденциальность и целостность данных. Производитель уже выпустил исправления. Уязвимость устранена в следующих версиях:

• QTS 5.2.9.3410 build 20260214 и новее;
• QVP 2.7.4 и новее;
• QuTS cloud c5.2.9.3468 build 20260413 и новее;
• QuTS hero h5.2.9.3410 build 20260214 и новее;
• QuTS hero h5.3.4.3500 build 20260520 и новее;
• QuTS hero h6.0.0.3459 build 20260409 и новее.

Что делать

Рекомендуется как можно скорее обновить затронутые системы QNAP до версий, указанных выше. Поскольку для эксплуатации требуются права администратора, ключевой дополнительной мерой защиты является ограничение и строгий контроль административного доступа:

• обновите QTS, QVP, QuTS cloud и QuTS hero до актуальных исправленных сборок;
• пересмотрите список учётных записей с правами администратора и удалите неиспользуемые;
• включите многофакторную аутентификацию для административных аккаунтов;
• ограничьте доступ к интерфейсу управления устройством доверенными сетями и адресами;
• регулярно проверяйте журналы на предмет подозрительной административной активности.

Подводя итог, CVE-2025-62850 — уязвимость с низким уровнем риска (CVSS 1.2), эксплуатация которой возможна лишь при компрометации административной учётной записи и приводит к DoS. Тем не менее исправления уже доступны, и обновление до рекомендованных версий закрывает проблему. Организациям, использующим продукты QNAP, стоит уделить особое внимание защите привилегированных аккаунтов.

Источник: CVE Project (cvelistV5)