QNAP sMedio DTCP MOVE: Fehlende Authentifizierung erlaubt Zugriff auf das System
Zusammenfassung
QNAP sMedio DTCP MOVE, ein NAS-Zusatzprogramm zum Kopieren und Streamen aufgezeichneter TV-Sendungen, verzichtet bei einer kritischen Funktion auf eine Authentifizierung. Ein entfernter Angreifer ohne Zugangsdaten und ohne Benutzerinteraktion kann so Zugriff auf das System erlangen. Der CNA stuft die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit als hoch ein, und CISA SSVC bewertet die Schwachstelle als automatisierbar mit totaler technischer Auswirkung.
Betroffen
- QNAP sMedio DTCP MOVE, Versionen 1.4.x vor 1.4.5 (CNA-Eintrag)
- VulDB beschreibt den Bereich mit bis einschliesslich 1.4.4
- Unbekannt: Versionen vor 1.4.x
Behoben in
- Auf sMedio DTCP MOVE 1.4.5 oder neuer aktualisieren
Umgehung
- Vom Hersteller nicht dokumentiert.
- Die App deinstallieren, falls sie nicht benötigt wird.
- Netzwerkzugriff auf das NAS einschränken; dies ist allgemeine Härtung und keine Herstellerlösung.
Ausnutzung
- CISA KEV: nicht gelistet
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total
- EPSS: 0.00534 (sehr niedrige prognostizierte Ausnutzungswahrscheinlichkeit)
- VulDB kennzeichnet den Eintrag mit "0-Day"; die Bedeutung für die Ausnutzungsreife ist nicht bestätigt
- Kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden; dies schliesst beides nicht aus
Unsere Empfehlung
- NAS-Geräte von QNAP inventarisieren und prüfen, ob sMedio DTCP MOVE installiert ist und welche Version läuft.
- Auf 1.4.5 oder neuer aktualisieren oder die App deinstallieren, falls ungenutzt.
- Management- und App-Ports der NAS nicht ins Internet freigeben; Portweiterleitungen und Router-Einstellungen prüfen.
- Lebenszyklus des Produkts bei QNAP prüfen; bei Einstellung einen Ersatz planen.
- Logs seit dem 15. Oktober 2026 auf unerwartete Zugriffe auf die App prüfen.
- Die fixierte Version auf der QNAP-Advisory-Seite verifizieren, bevor sie Kunden mitgeteilt wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- QNAP app release notes (vendor advisory) www.qnap.com
- VulDB entry 420574 vuldb.com
- Vulners CVE record vulners.com
- OpenCVE CVE record app.opencve.io
- Strix CVE record www.strix.ai
- EUVD-2026-101974 (EPSS) vulners.com
- QNAP sMedio DTCP MOVE product page www.qnap.com
- QNAP DTCP Move tutorial (2016, possibly outdated) download.qnap.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:42.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.