QNAP HybridDesk Station: Präautorisierte Command Injection im Betriebssystem
Zusammenfassung
QNAP HybridDesk Station, eine optionale App für QNAP-NAS-Geräte, die HDMI-Display-Ausgabe und Zugriff auf Multimedia-Inhalte ermöglicht, enthält eine OS Command Injection-Schwachstelle (CWE-78). Ein entfernter Angreifer kann diese ohne Authentifizierung und ohne Benutzerinteraktion ausnutzen, um beliebige Befehle auf dem NAS auszuführen; der CVSS-4.0-Basiswert von 9.3 (Critical) stammt vom CNA. Nur NAS-Geräte mit installierter, betroffener Version von HybridDesk Station sind gefährdet, und die Auswirkungen sind hoch, wenn das NAS aus nicht vertrauenswürdigen Netzen erreichbar ist.
Betroffen
- HybridDesk Station 4.2.x vor 4.2.23
- HybridDesk Station 4.3.x vor 4.3.4
- Ob frühere Zweige betroffen sind: Unbekannt.
Behoben in
- HybridDesk Station 4.2.23 und neuer
- HybridDesk Station 4.3.4 und neuer
Umgehung
- Unbekannt. Der Hersteller hat keine Workaround veröffentlicht. HybridDesk Station entfernen, wo sie nicht benötigt wird.
- Die Administrationsoberfläche des NAS vom Internet fernhalten und nur über ein VPN zugänglich machen.
Ausnutzung
- CISA KEV: nicht aufgeführt.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
- Keine bestätigte Ausnutzung in freier Wildbahn in den geprüften Quellen.
- Kein verifizierter öffentlicher Proof of Concept. EPSS etwa 0.0107.
Unsere Empfehlung
- Prüfen, ob HybridDesk Station auf einem QNAP-NAS installiert ist (App Center oder Menü HDMI Display Applications).
- So rasch wie möglich auf 4.2.23, 4.3.4 oder neuer aktualisieren.
- HybridDesk Station auf Geräten entfernen, auf denen sie nicht benötigt wird.
- Portweiterleitungen und NAT-Regeln prüfen und die Administrationsoberfläche des NAS nicht aus dem Internet erreichbar machen.
- NAS-Protokolle auf unerwartete Prozesse oder Zugriffsversuche überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- QNAP release notes HybridDesk Station www.qnap.com
- CVE List record (Vulners) vulners.com
- VulDB entry 420578 vuldb.com
- Strix CVE record www.strix.ai
- Vulners CVE record vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:42.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.