Trusted DesignCVE-2020-2506 の詳細
CVEの情報
説明:
The vulnerability have been reported to affect earlier versions of QTS. If exploited, this improper access control vulnerability could allow attackers to compromise the security of the software by gaining privileges, or reading sensitive information. This issue affects: QNAP Systems Inc. Helpdesk versions prior to 3.0.3.
CVE更新日: 2021-02-03 16:15:13.807000
CVSSバージョン: 3.1
CVSSスコア: 7.3
KEVの情報
KEV更新日: 2022-03-25
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.019820000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: medium
Automatable: True
CVE-2020-2506に関する調査結果を以下に解説します。
1. 脆弱性の概要
QNAP Systems Inc.のHelpdeskアプリケーションにおける不適切なアクセス制御の脆弱性です。この脆弱性を悪用されると、攻撃者はアプリケーション内で権限を昇格させたり、機密情報を読み取ったりする可能性があります。
1.1. 影響 攻撃者は、不正な高レベルの権限を取得し、機密情報へのアクセスや漏洩、ユーザー認証情報の取得、またはネットワーク内での横移動が可能になることで、システムセキュリティを侵害する可能性があります。 認証されていない攻撃者による限定的な機密性、完全性、可用性への影響が考えられます。
1.2. 深刻度 * CVSS v3.1基本スコア: 7.3 (High) * CWE: CWE-284: 不適切なアクセス制御 (Improper Access Control)
この脆弱性は、CISAの「Known Exploited Vulnerabilities Catalog (KEV)」に掲載されており、実際のサイバー攻撃で悪用が確認されていることを意味するため、高い優先度で対処すべきです。
2. 対象となる環境
QNAP Systems Inc. Helpdeskの特定のバージョンに影響があります。
2.1. 影響を受けるOSバージョン QNAP Systems Inc. のHelpdeskの以前のバージョンが影響を受けます。具体的には、QTSの以前のバージョンに影響があると報告されています。 その他の特定のOSバージョンに関する情報は不明です。
2.2. 影響を受ける設定 この脆弱性は、「不適切なアクセス制御」に起因します。 具体的にどの設定が影響を受けるかについての詳細は不明です。
3. 影響を受けた時の兆候
CISAのKEVカタログに掲載されていることから、実際に悪用された事例があることが示唆されます。
4. 推奨対策
4.1. 本対策 QNAP Systems Inc. Helpdesk をバージョン 3.0.3 以降にアップグレードしてください。 このアップデートは、不適切なアクセス制御の脆弱性に直接対処し、アプリケーションのセキュリティを確保します。
4.2. 暫定回避策（緩和策） * QNAP Helpdesk インスタンスをファイアウォールの背後に隔離し、必要な内部IPアドレスまたは信頼できるネットワークのみにアクセスを制限する。 * すべてのHelpdeskユーザーに強力な多要素認証を導入する。 * 堅牢なログを有効にし、異常なアクセスパターンや権限昇格の試みがないか積極的に監視する。 * 厳密に必要でない場合は、Helpdeskへの外部アクセスを無効にすることを検討する。
参照したサイト