Trusted DesignCVE-2018-19953 の詳細
CVEの情報
説明:
If exploited, this cross-site scripting vulnerability could allow remote attackers to inject malicious code. QNAP has already fixed the issue in the following QTS versions. QTS 4.4.2.1231 on build 20200302; QTS 4.4.1.1201 on build 20200130; QTS 4.3.6.1218 on build 20200214; QTS 4.3.4.1190 on build 20200107; QTS 4.3.3.1161 on build 20200109; QTS 4.2.6 on build 20200109.
CVE更新日: 2020-10-28 18:15:12.740000
CVSSバージョン: 3.1
CVSSスコア: 6.1
KEVの情報
KEV更新日: 2022-05-24
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.289820000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: medium
Automatable: False
CVE-2018-19953に関する調査結果を以下の観点で解説します。
1. 脆弱性の概要
CVE-2018-19953は、QNAP NASのQTSに存在するクロスサイトスクリプティング（XSS）の脆弱性です。
1.1 影響 この脆弱性が悪用されると、リモートの攻撃者によって悪意のあるコードが注入される可能性があります。これにより、影響を受けるシステムのセキュリティが侵害され、不正アクセスやデータ改ざんにつながる可能性があります。
1.2 深刻度 CVSSv3.1の基本スコアは6.1（中）と評価されています。NVDではCVSSv2.0の基本スコアは4.3（中）です。攻撃経路はネットワークであり、攻撃の複雑性は低く、特別な権限は不要ですが、ユーザーの操作が必要です。スコープの変更が発生します。この脆弱性はCWE-79 (Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')) および CWE-80 (Improper Neutralization of Script) に分類されます。
2. 対象となる環境
この脆弱性は、QNAP NASのQTS（QNAP Turbo System）に影響を与えます。
2.1 影響を受けるOSバージョン 以下のQTSバージョンおよびそれ以前のバージョンが影響を受けます。 * QTS 4.4.2.1231 (build 20200302) より前のバージョン * QTS 4.4.1.1201 (build 20200130) より前のバージョン * QTS 4.3.6.1218 (build 20200214) より前のバージョン * QTS 4.3.4.1190 (build 20200107) より前のバージョン * QTS 4.3.3.1161 (build 20200109) より前のバージョン * QTS 4.2.6 (build 20200109) より前のバージョン
具体的には、QTS 4.3.1.0013から4.3.3.1161までのすべてのバージョン、およびQTS 4.2.6のいくつかのビルドが脆弱です。
2.2 影響を受ける設定 本脆弱性の根本原因は、QTSのウェブインターフェースにおけるユーザー入力の不適切な処理にあります。特定の「影響を受ける設定」についての詳細は明記されていません。
3. 影響を受けた時の兆候
この脆弱性の悪用を検知するためには、QTSインターフェースを標的としたウェブトラフィックにおける異常なスクリプト実行や振る舞いの異常をログで監視することが推奨されます。
4. 推奨対策
4.1 本対策 QNAPはすでにこの問題に対する修正プログラムをリリースしています。以下のQTSバージョンへアップデートすることが推奨されます。 * QTS 4.4.2.1270 build 20200410 およびそれ以降 * QTS 4.4.1.1261 build 20200330 およびそれ以降 * QTS 4.3.6.1263 build 20200330 およびそれ以降 * QTS 4.3.4.1282 build 20200408 およびそれ以降 * QTS 4.3.3.1252 build 20200409 およびそれ以降 * QTS 4.2.6 build 20200421 およびそれ以降
使用しているNASモデルに対して、利用可能な最新のQTSバージョンにアップデートすることが強く推奨されます。
4.2 暫定回避策（緩和策） 具体的な暫定回避策については明記されていませんが、恒久的な対策としてアップデートが最優先されます。一般的にXSS攻撃に対するウェブアプリケーションの堅牢化（入力値検証の強化など）が重要ですが、ベンダーからのパッチ適用が最も効果的です。継続的なセキュリティテストや堅牢な脆弱性管理プログラムも推奨されています。
他に解説すべき観点
参照したサイト