جزئیات آسیب‌پذیری
CVE-2020-2509
بهره‌برداری فعال
QNAP Systems QTSQNAP Systems QuTS hero
Command Injection Vulnerability in QTS and QuTS hero
CVSS 3.1
9.8بحرانی
نمای کلی
اکسپلویت‌های عمومی
اخبار مرتبط
خط زمانی
خلاصه‌ی فارسی
خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.
شرح رسمی (انگلیسی)
A command injection vulnerability has been reported to affect QTS and QuTS hero. If exploited, this vulnerability allows attackers to execute arbitrary commands in a compromised application. We have already fixed this vulnerability in the following versions: QTS 4.5.2.1566 Build 20210202 and later QTS 4.5.1.1495 Build 20201123 and later QTS 4.3.6.1620 Build 20210322 and later QTS 4.3.4.1632 Build 20210324 and later QTS 4.3.3.1624 Build 20210416 and later QTS 4.2.6 Build 20210327 and later QuTS hero h4.5.1.1491 build 20201119 and later
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 9.8بحرانی | 3.1 | CISA ADP / Vulnrichment (CISA-ADP) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| QNAP Systems Inc. | QTS | v < 4.5.2.1566 Build 20210202 | CVEProject cvelistV5 (CNA) |
| QNAP Systems Inc. | QTS | v < 4.5.1.1495 Build 20201123 | CVEProject cvelistV5 (CNA) |
| QNAP Systems Inc. | QTS | v < 4.3.6.1620 Build 20210322 | CVEProject cvelistV5 (CNA) |
| QNAP Systems Inc. | QTS | v < 4.3.4.1632 Build 20210324 | CVEProject cvelistV5 (CNA) |
| QNAP Systems Inc. | QTS | v < 4.3.3.1624 Build 20210416 | CVEProject cvelistV5 (CNA) |
| QNAP Systems Inc. | QTS | v < 4.2.6 Build 20210327 | CVEProject cvelistV5 (CNA) |
| QNAP Systems Inc. | QuTS hero | v < h4.5.1.1491 build 20201119 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۲- https://www.qnap.com/en/security-advisory/qsa-21-05 x_refsource_MISC
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-2509 government-resource
اطلاعات
- تاریخ انتشار
- ۱۴۰۰/۰۱/۲۸
- آخرین به‌روزرسانی
- ۱۴۰۴/۰۷/۳۰
- وضعیت
- PUBLISHED
- صادرکننده (CNA)
- qnap
- اولویت کلون
- به‌زودی
فهرست KEV آژانس CISA
- تاریخ افزوده‌شدن
- ۱۴۰۱/۰۱/۲۲
- مهلت رفع
- ۱۴۰۱/۰۲/۱۲
- استفاده در باج‌افزار
- نامشخص
پیش‌بینی بهره‌برداری (EPSS)
۳۳٫۹۸٪
احتمال بهره‌برداری در ۳۰ روز
۹۸٫۳٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- Automatable
- yes
- Exploitation
- active
- Technical Impact
- total
ضعف‌ها (CWE)
- CWE-77Improper Neutralization of Special Elements used in a Command ('Command Injection')
- CWE-78OS Command Injection