セキュリティ

SECURITY

公開：2024-09-13

【CVE-2024-21897】QNAP SystemsのQTS・QuTS heroにクロスサイトスクリプティングの脆弱性、情報漏洩のリスクに

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• QNAP SystemsのQTS・QuTS heroに脆弱性
• クロスサイトスクリプティングの脆弱性を確認
• CVSS v3による深刻度基本値は5.4（警告）

QNAP SystemsのQTSおよびQuTS heroの脆弱性発見

QNAP SystemsはQNAP QTSおよびQuTS heroにおいて、クロスサイトスクリプティングの脆弱性が存在することを2024年9月6日に公開した。この脆弱性はCVE-2024-21897として識別されており、CVSS v3による深刻度基本値は5.4（警告）とされている。攻撃元区分はネットワークであり、攻撃条件の複雑さは低いと評価されている。^[1]

影響を受けるシステムには、QNAP QTSの5.1.0.2348から5.1.5.2679までのバージョン、およびQuTS heroのh5.1.0.2409からh5.1.5.2680までのバージョンが含まれる。この脆弱性の影響により、攻撃者が情報を取得したり、情報を改ざんしたりする可能性がある。QNAP Systemsは、ユーザーに対してベンダアドバイザリまたはパッチ情報を参照し、適切な対策を実施するよう呼びかけている。

本脆弱性はCWEによってクロスサイトスクリプティング（CWE-79）に分類されている。NVDの評価によると、攻撃に必要な特権レベルは低く、利用者の関与が必要とされている。また、影響の想定範囲に変更があるとされ、機密性と完全性への影響は低く、可用性への影響はないと評価されている。ユーザーは早急にシステムのアップデートを行い、セキュリティリスクを最小限に抑えることが推奨される。

QNAP SystemsのQTSおよびQuTS hero脆弱性の詳細

クロスサイトスクリプティングについて

クロスサイトスクリプティング（XSS）とは、Webアプリケーションの脆弱性を利用した攻撃手法の一つであり、以下のような特徴がある。

• 攻撃者が悪意のあるスクリプトをWebページに挿入可能
• ユーザーのブラウザ上で不正なスクリプトが実行される
• ユーザーの個人情報やセッション情報が漏洩するリスクがある

QNAP SystemsのQTSおよびQuTS heroで発見されたこの脆弱性は、攻撃者がネットワークを介して低い特権レベルで攻撃を実行できる点が特徴的だ。ユーザーの関与が必要とされるものの、攻撃条件の複雑さが低いため、潜在的な被害のリスクは無視できない。この脆弱性を放置すると、ストレージシステム上の重要なデータが危険にさらされる可能性があるため、迅速な対応が求められる。

QNAP SystemsのQTSおよびQuTS hero脆弱性に関する考察

QNAP SystemsがQTSおよびQuTS heroの脆弱性を迅速に公開したことは、ユーザーのセキュリティ意識向上につながる良い取り組みだ。しかし、影響を受けるバージョンの範囲が広いことから、多くのユーザーが潜在的なリスクにさらされている可能性がある。今後は、脆弱性の発見から修正パッチの配布までの時間をさらに短縮し、ユーザーの安全を確保することが重要になるだろう。

この脆弱性の公開により、QNAP Systemsの製品を狙った攻撃が増加する可能性がある。特に、パッチ適用が遅れているシステムや、サポート終了したバージョンを使用し続けているユーザーが標的になりやすい。このような事態を防ぐためには、QNAPはユーザーに対してより積極的な更新通知を行うとともに、自動アップデート機能の強化など、ユーザーの負担を軽減する仕組みを考案する必要があるだろう。

長期的には、QNAPはセキュリティ設計の見直しとプログラムのコード品質向上に取り組むべきだ。また、ユーザー側も定期的なファームウェア更新やアクセス制限の適切な設定など、基本的なセキュリティ対策を怠らないことが重要になる。今回の脆弱性をきっかけに、NASデバイスのセキュリティに対する意識が高まり、業界全体でより安全なストレージソリューションの開発が進むことを期待したい。

参考サイト

1. ^ JVN. 「JVNDB-2024-007818 - JVN iPedia - 脆弱性対策情報データベース」. https://jvndb.jvn.jp/ja/contents/2024/JVNDB-2024-007818.html, (参照 24-09-13).

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧