QNAP Video Station: Path Traversal mit Lesezugriff auf unerwartete Dateien
Zusammenfassung
Eine Path-Traversal-Schwachstelle in QNAP Video Station, einer App für QNAP-NAS-Geräte, erlaubt einem Angreifer, den Inhalt unerwarteter Dateien oder Systemdaten zu lesen. Der Angreifer muss zuvor ein gültiges Benutzerkonto auf dem Gerät erlangen. Der offizielle CVE-Eintrag enthält zudem einen widersprüchlichen Titel mit Dateilöschung und Remote Code Execution, den der Herstellertext und die Beschreibung nicht stützen.
Betroffen
- QNAP Video Station 5.8.x vor 5.8.5
- Frühere Versionszweige: Unbekannt.
Behoben in
- Video Station 5.8.5 und neuer (Herstellerreferenz: QNAP-Release-Notes)
- Neueste Version wird empfohlen; spätere Video-Station-CVEs sind in 5.8.8 behoben.
Umgehung
- Keine vom Hersteller dokumentiert, da eine korrigierte Version existiert.
- Übergangsmassnahmen (Empfehlung, nicht aus einer Quelle): NAS-Benutzerkonten einschränken und prüfen, nicht benötigte Konten entfernen, Verwaltungsoberflächen des NAS und Video Station nicht direkt aus dem Internet erreichbar machen.
Ausnutzung
- Aktive Ausnutzung: kein Nachweis gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Proof of Concept gefunden; VulDB gibt an, dass kein Exploit verfügbar ist.
Unsere Empfehlung
- Video Station auf 5.8.5 oder neuer aktualisieren, vorzugsweise auf die neueste Version (5.8.8 oder neuer).
- Prüfen, welche NAS-Geräte Video Station betreiben, und die installierte Version im App Center kontrollieren.
- Nicht benötigte Benutzerkonten und Konten ehemaliger Mitarbeitender überprüfen und entfernen; Kontenerstellung einschränken.
- NAS-Verwaltungsoberflächen nicht aus dem Internet erreichbar machen; Zugriffsprotokolle auf ungewöhnliche Dateizugriffe überwachen.
- Den massgeblichen CVSS-Wert auf NVD bestätigen, da Drittquellen abweichende Werte nennen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- QNAP Video Station release notes (vendor reference) www.qnap.com
- VulDB CVE-2025-66272 (no exploit available) vuldb.com
- OpenCVE CVE-2025-66272 app.opencve.io
- Vulners VulnRichment CVE-2025-66272 (SSVC, prerequisites) vulners.com
- CVE Threatint CVE-2025-66272 cve.threatint.com
- VulDB CVE-2026-34015 (later path traversal fixed in 5.8.8) vuldb.com
- QNAP QSA-25-32 (different CVE, reference only) www.qnap.com
- CyberStrike CVE-2023-50360 (earlier authenticated Video Station flaw) cyberstrike.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 08:25.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.