Trusted Design

解説:

CVE-2019-7194: QNAP Photo Stationにおけるパス・トラバーサル脆弱性

1. 脆弱性の概要

CVE-2019-7194は、QNAP Photo Stationに存在する外部からのファイル名またはパスの制御に関する脆弱性です。この脆弱性は、ディレクトリパス名のアクセス制限が不適切であることに起因します。リモートの攻撃者はこの脆弱性を悪用することで、システム上のファイルにアクセスしたり、改変したりすることが可能になります。この問題は、パス・トラバーサル (CWE-22) の脆弱性として分類されています。

1.1 影響

この脆弱性が悪用されると、リモートの攻撃者はシステムファイルへのアクセスや改変が可能となり、データ完全性が侵害される可能性があります。 この脆弱性は、他の脆弱性（CVE-2019-7192, CVE-2019-7193, CVE-2019-7195など）と組み合わせることで、認証なしでroot権限でのリモートコード実行 (Pre-Auth Root RCE) につながる可能性も指摘されています。 また、CISA (米国サイバーセキュリティ・社会基盤安全保障庁) の既知の悪用された脆弱性カタログ（Known Exploited Vulnerabilities Catalog）に登録されており、実際に攻撃で悪用されていることが確認されています。

1.2 深刻度

• CVSS v3.1: 9.8 (Critical)
• CVSS v2.0: 7.5 (High)

NVDのCVSS v3.1スコアは「Critical」であり、EPSS (Exploit Prediction Scoring System) スコアも94.00%と、30日以内に悪用される可能性が非常に高いと予測されています。 複数の公開されたエクスプロイトコードも存在します。

2. 対象となる環境

2.1 影響を受けるOSバージョン

QNAP NASデバイスでPhoto Stationアプリケーションが稼働している環境が影響を受けます。 具体的なQTS（QNAP Turbo Station）のバージョンは以下の通りです。

• QTS 4.4.1: build 20190918 より前のバージョン
• QTS 4.3.6: build 20190919 より前のバージョン
• QTS 4.3.4 - QTS 4.4.0: Photo Station 5.7.10 より前のバージョン
• QTS 4.3.0 - QTS 4.3.3: Photo Station 5.4.9 より前のバージョン
• QTS 4.2.6: Photo Station 5.2.11 より前のバージョン

2.2 影響を受ける設定

Photo Stationアプリケーションが有効になっているQNAP NASデバイス。 脆弱性が修正される前のすべてのダウンロード可能なPhoto Stationのバージョンが影響を受けます。具体的には、Photo Station 6.0.3、5.2.11、5.4.9より前のバージョンです。

3. 影響を受けた時の兆候

この脆弱性はリモートからのファイルアクセスや改変、あるいは他の脆弱性と組み合わせることでリモートコード実行に繋がる可能性があるため、以下のような兆候が考えられますが、直接的な兆候は明確に記述されていません。

• システムログに異常なファイルアクセスや改変の記録がある。
• 見慣れないファイルがシステムに作成されている、または既存のファイルが改変されている。
• システムパフォーマンスの低下。
• 不審なネットワーク通信の発生。
• Photo StationまたはQTSの予期せぬ動作やクラッシュ。

4. 推奨対策

4.1 本対策

QNAPは、この脆弱性を修正するためにPhoto StationおよびQTSを最新バージョンにアップデートすることを推奨しています。

QTSのアップデート方法: 1. 管理者としてQTSにログインします。 2. 「コントロールパネル」>「システム」>「ファームウェア更新」に移動します。 3. 「ライブ更新」で「更新を確認」をクリックします。 4. QTSが利用可能な最新の更新をダウンロードしてインストールします。 * QNAPウェブサイトのサポート > ダウンロードセンターから更新をダウンロードすることも可能です。

Photo Stationのアップデート方法: 1. 管理者としてQTSにログインします。 2. App Centerを開き、検索ボックスに「Photo Station」と入力してEnterを押します。 3. 検索結果リストにPhoto Stationアプリケーションが表示されます。 4. 「更新」をクリックし、確認メッセージで「OK」をクリックします。 * 最新バージョンを使用している場合、「更新」ボタンは表示されません。

対象となる修正済みバージョンは以下の通りです。

• QTS 4.4.1: build 20190918 以降
• QTS 4.3.6: build 20190919 以降
• QTS 4.4.1: Photo Station 6.0.3 以降
• QTS 4.3.4 - QTS 4.4.0: Photo Station 5.7.10 以降
• QTS 4.3.0 - QTS 4.3.3: Photo Station 5.4.9 以降
• QTS 4.2.6: Photo Station 5.2.11 以降

4.2 暫定回避策（緩和策）

• アップデートを適用するまでの間、機密性の高いシステムファイルへのアクセスを制限することを検討してください。
• 影響を受けるPhoto Stationのバージョンを使用しないようにしてください。
• ファイアウォールなどを用いて、信頼できないネットワークからのアクセスを制限することも緩和策として有効です。

参照したサイト

• NVD - CVE-2019-7194
• CVE-2019-7194 - QNAP Photo Station Path Traversal Vulnerability - [Actively Exploited]
• Security Advisory for Vulnerabilities in QTS and Photo Station - QNAP
• CVE-2019-7194 — Path traversal in Qnap Photo Station | dbugs - Positive Technologies
• CVE-2019-7194 - QNAP Photo Station - Path Traversal · Issue #12254 · projectdiscovery/nuclei-templates - GitHub
• CVE-2019-7194 - CVE Details, Severity, and Analysis | Strobes VI
• QNAP Pre-Auth Root RCE Affecting ~312K Devices on the Internet
• CVE-2019-7194 — Known Exploited Vulnerability (CISA KEV, QNAP Photo Station)