QNAP Hybrid Backup Sync: Verwendung eines fest codierten kryptografischen Schlüssels
Zusammenfassung
QNAP HBS 3 Hybrid Backup Sync und Hybrid Backup Sync 26.4.x vor den korrigierten Versionen enthalten einen fest codierten kryptografischen Schlüssel. Ein entfernter Angreifer kann unter Umständen die Sicherheit des Systems gefährden, wobei der CVSS-Vektor auf einen Angriff aus dem benachbarten Netzwerk hinweist. Der CVE-Eintrag beschreibt keine weiteren Voraussetzungen, und die Analyse durch die NVD steht noch aus.
Betroffen
- HBS 3 Hybrid Backup Sync 26.4.x vor 26.4.0.521
- Hybrid Backup Sync 26.4.x vor 26.4.1.563
- Untergrenze der betroffenen Zweige über 26.4.x hinaus: Unbekannt.
Behoben in
- HBS 3 Hybrid Backup Sync 26.4.0.521 und neuer
- Hybrid Backup Sync 26.4.0.521 und neuer
- Hybrid Backup Sync 26.4.1.563 und neuer
Umgehung
- Unbekannt. Es ist keine Workaround-Massnahme des Herstellers dokumentiert; ein Update ist die einzige dokumentierte Massnahme.
Ausnutzung
- Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn oder öffentlichen Proof-of-Concept-Code gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- VulDB führt den Status als "0-Day" ohne Erläuterung; Einstufung ist unklar.
Unsere Empfehlung
- HBS auf QNAP-NAS-Geräten inventarisieren und die Versionen prüfen.
- Auf die oben genannten korrigierten Versionen aktualisieren und den Zweig anhand der QNAP-Release-Notes verifizieren.
- Die Verwaltung des NAS und die Backup-Dienste nicht aus dem Internet erreichbar machen und auf vertrauenswürdige Netzwerke beschränken.
- NVD- und QNAP-Advisory-Seiten erneut prüfen, sobald die Analyse veröffentlicht ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- QNAP App Release Notes (HBS 3) www.qnap.com
- QNAP App Release Notes (Hybrid Backup Sync) www.qnap.com
- VulDB entry 428325 vuldb.com
- CVE record mirror (threatint) cve.threatint.com
- OffSeq radar CVE-2025-62841 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:43.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.