QNAP Download Station: Falsche Berechtigungsvergabe ermöglicht Rechteerweiterung
Zusammenfassung
QNAP Download Station auf NAS-Systemen mit QTS und QuTS hero enthält eine falsche Berechtigungsvergabe. Das Skript ds-move-files.sh ist beschreibbar und wird als root ausgeführt. Ein lokaler Angreifer mit bestehendem Administratorkonto kann dies ausnutzen, um die Sicherheit des Systems zu gefährden.
Betroffen
- QNAP Download Station 5.10.x vor 5.10.1.312
- QNAP Download Station 5.11.x vor 5.11.2.321
- Standardkonfiguration: nicht betroffen
Behoben in
- Download Station 5.10.1.312 und neuer
- Download Station 5.11.2.321 und neuer
- Neuere Versionen beheben zusätzlich CVE-2026-39993 (5.10.2.313 und neuer, 5.11.3.322 und neuer)
Umgehung
Unbekannt.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- EPSS 0.00134. Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Inventarisieren Sie QNAP-NAS mit Download Station und deren Versionen.
- Aktualisieren Sie auf den neuesten verfügbaren 5.10.x- oder 5.11.x-Build, mindestens auf 5.10.1.312 bzw. 5.11.2.321.
- Überprüfen Sie Administratorkonten, aktivieren Sie 2FA und prüfen Sie auf unerwartete Admin-Anmeldungen.
- Beschränken Sie den Verwaltungszugriff auf LAN oder VPN und entfernen Sie unnötige Internetexposition.
- Überwachen Sie QNAP-Advisories und NVD auf eine QSA-ID und einen Proof of Concept.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- QNAP Download Station release notes www.qnap.com
- VulDB CVE-2026-34014 vuldb.com
- Vulners CVE-2026-34014 vulners.com
- OpenCVE CVE-2026-34014 app.opencve.io
- Strix CVE-2026-34014 www.strix.ai
- VulDB CVE-2026-39993 (related) vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:23.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.