QNAP HybridDesk Station: Fehlende Authentifizierung für kritische Funktion
Zusammenfassung
HybridDesk Station, eine optionale Zusatzanwendung für QNAP-NAS-Geräte, enthält eine Schwachstelle mit fehlender Authentifizierung (CWE-306) in einer kritischen Funktion. Ein Angreifer aus der Ferne kann laut Beschreibung des CNA ohne Anmeldung Zugriff auf das System erlangen. Das Problem betrifft nur Geräte, auf denen die Anwendung installiert ist und die für den Angreifer erreichbar sind; im CVSS-Vektor ist die Benutzerinteraktion als passiv angegeben.
Betroffen
- HybridDesk Station 4.2.x vor 4.2.22
- Unbekannt, ob weitere Versionszweige betroffen sind; eine verwandte CVE (CVE-2026-47786) betrifft laut Berichten 4.2.22 sowie 4.3.x-Versionen bis 4.3.3
Behoben in
- HybridDesk Station 4.2.22 und neuer (gemäss QNAP-CNA-Eintrag; gegen die QNAP-Sicherheitsmitteilung zu prüfen)
- Für die verwandte CVE-2026-47786: 4.2.23 oder 4.3.4 und neuer
Umgehung
Unbekannt. Es ist keine vom Hersteller dokumentierte Massnahme verfügbar. Übergangsweise: HybridDesk Station deinstallieren, falls nicht benötigt, den Zugriff auf die NAS-Verwaltung und HybridDesk auf das LAN oder VPN beschränken und sicherstellen, dass das NAS nicht direkt aus dem Internet erreichbar ist.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; CISA ADP gibt die Ausnutzung als none an
- Zum Recherchezeitpunkt nicht im CISA-KEV-Katalog aufgeführt (nicht auf der CISA-Website überprüft)
- Kein öffentlicher Proof of Concept bekannt; EPSS 0.00242
Unsere Empfehlung
- Prüfen, ob HybridDesk Station auf jedem QNAP-NAS installiert ist.
- Prüfen, ob das NAS aus dem Internet erreichbar ist (Portweiterleitung, Cloud-Relay, VPN).
- HybridDesk Station auf 4.2.23 oder neuer aktualisieren (oder auf 4.3.4 oder neuer im Zweig 4.3.x), um auch CVE-2026-47786 abzudecken.
- Falls die Anwendung nicht benötigt wird, deinstallieren.
- Zugriff auf die NAS-Verwaltungsoberflächen auf das LAN oder VPN beschränken und Protokolle auf unerwartete Zugriffe überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- QNAP app release notes (HybridDesk Station) www.qnap.com
- VulDB CVE-2026-39997 vuldb.com
- OpenCVE CVE-2026-39997 app.opencve.io
- Vulners CVE-2026-39997 vulners.com
- Strix CVE-2026-39997 www.strix.ai
- Vulners CVE-2026-47786 (related CVE) vulners.com
- VulDB CVE-2026-47786 (related CVE) vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:31.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.