Trusted DesignCVE-2018-19949 の詳細
CVEの情報
説明:
If exploited, this command injection vulnerability could allow remote attackers to run arbitrary commands. QNAP has already fixed the issue in the following QTS versions. QTS 4.4.2.1231 on build 20200302; QTS 4.4.1.1201 on build 20200130; QTS 4.3.6.1218 on build 20200214; QTS 4.3.4.1190 on build 20200107; QTS 4.3.3.1161 on build 20200109; QTS 4.2.6 on build 20200109.
CVE更新日: 2020-10-28 18:15:12.647000
CVSSバージョン: 3.1
CVSSスコア: 9.8
KEVの情報
KEV更新日: 2022-05-24
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.286300000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2018-19949に関する調査結果を以下にまとめます。
1. 脆弱性の概要
CVE-2018-19949は、QNAP社のQTSオペレーティングシステムに存在する重大なコマンドインジェクションの脆弱性です。この脆弱性が悪用されると、リモートの攻撃者が影響を受けるデバイス上で任意のコマンドを実行できるようになります。
この脆弱性の根本原因は、QNAPのQTSソフトウェアにおける不適切な入力検証メカニズムにあります。 脆弱性は、CWE-20 (不適切な入力検証)、CWE-77 (コマンドインジェクション)、およびCWE-78 (OSコマンドインジェクション) に分類されています。
1.1 影響
この脆弱性が悪用された場合、認証されていないアクセス、データ整合性の侵害、およびサービス可用性の中断が高確率で発生する可能性があります。 攻撃者は任意のコマンドを実行できるため、重大な運用上および評判上の損害につながる可能性があります。
1.2 深刻度
CVE-2018-19949は、CVSSスコア9.8（CVSS v3）の「Critical（緊急）」と評価されています。 攻撃の複雑さは低く、悪用には特権やユーザーの操作は必要ありません。 攻撃はネットワーク経由でリモートから実行可能です。 この脆弱性は、CISAの既知の悪用されている脆弱性カタログ（Known Exploited Vulnerabilities Catalog）に追加されています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
この脆弱性は、QNAP NASのQTSオペレーティングシステムに影響を与えます。具体的には、以下のバージョンより前のQTSが影響を受けます。
QNAPは、以下のQTSバージョンで問題が修正されたと報告しています。
2.2 影響を受ける設定
特定の「影響を受ける設定」については、検索結果に明示的な情報はありません。この脆弱性は、QTSソフトウェア内の不適切な入力検証メカニズムに起因するものであり、特定の機能の設定によって影響を受けるものではないと考えられます。 不明。
3. 影響を受けた時の兆候
この脆弱性が悪用された際の具体的な兆候（Indicators of Compromise）は、検索結果には明示されていません。しかし、リモートからの任意のコマンド実行が可能となるため、以下のような状況が発生する可能性があります。
4. 推奨対策
4.1 本対策
直ちに対策を講じる必要があります。 影響を受けるQTSバージョンを使用している組織は、QNAPの指示に従ってQTSを最新バージョンに更新することが不可欠です。
QNAPのQTSを更新するには、以下の手順を実行します。 1. 管理者としてQTSにログインします。 2. 「コントロールパネル」>「システム」>「ファームウェア更新」に移動します。 3. 「ライブアップデート」の下にある「更新の確認」をクリックします。QTSが最新の利用可能な更新をダウンロードしてインストールします。 4. または、QNAPのウェブサイトの「サポート」>「ダウンロードセンター」から更新プログラムをダウンロードし、手動で更新することも可能です。
4.2 暫定回避策（緩和策）
この脆弱性に対する一時的な回避策や緩和策は、検索結果には明示されていません。脆弱性の性質上、パッチを適用することが最も重要かつ効果的な対策となります。 不明。
参照したサイト