QNAP Video Station: Path Traversal erlaubt Lesen unerwarteter Dateien
Zusammenfassung
QNAP Video Station enthält eine Path-Traversal-Schwachstelle (CWE-22), die mit einem CVSS-4.0-Wert von 8.7 eingestuft ist. Ein Angreifer mit einem gültigen Benutzerkonto kann damit den Inhalt unerwarteter Dateien oder Systemdaten auf dem NAS lesen. Der Angriff setzt eine Authentifizierung voraus, und der Hersteller hat das Problem in Version 5.8.8 behoben. Der Titel des CNA-Eintrags nennt Remote Code Execution, die Beschreibung und die CWE beschreiben jedoch das Lesen von Dateien; das Advisory des Herstellers sollte zur Bestätigung der Auswirkungen geprüft werden.
Betroffen
- QNAP Video Station 5.8.x vor 5.8.8 (gemäss CNA-Eintrag)
- Einige Drittdatenbanken nennen abweichende Bereiche; ältere Zweige sind nicht gegen das Advisory von QNAP verifiziert.
Behoben in
- Video Station 5.8.8 und neuer
Umgehung
- Kein Workaround dokumentiert. Das Aktualisieren ist die Behebung.
- Übergangsweise: Zugriff auf Video Station einschränken, nicht genutzte Konten entfernen und das NAS beziehungsweise die Video-Station-Oberfläche nicht direkt aus dem Internet erreichbar machen.
Ausnutzung
- Keine Hinweise auf bekannte Ausnutzung gefunden; CISA SSVC führt Exploitation als none und Automatable als no.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS 0.00493 (sehr niedrig).
Unsere Empfehlung
- QNAP-NAS-Geräte und Video-Station-Versionen inventarisieren.
- Video Station über das QNAP App Center auf 5.8.8 oder neuer aktualisieren und das Advisory von QNAP prüfen.
- Benutzerkonten auf dem NAS prüfen, starke Passwörter und MFA erzwingen, sofern verfügbar, und nicht genutzte Konten entfernen.
- Sicherstellen, dass das NAS nicht direkt aus dem Internet erreichbar ist; für den Fernzugriff VPN verwenden.
- NAS-Logs auf ungewöhnliche Video-Station-Anfragen und Dateizugriffe prüfen.
- Auf andere, zeitgleich veröffentlichte Path-Traversal- und SQL-Injection-Schwachstellen in Video Station prüfen, etwa CVE-2025-66272.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- QNAP release notes www.qnap.com
- OpenCVE CVE-2026-34015 app.opencve.io
- Threatint CVE-2026-34015 cve.threatint.com
- Vulners CVE-2026-34015 vulners.com
- VulDB 420583 vuldb.com
- Strix CVE-2026-34015 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:32.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.