QNAP QuMagie: Symlink-Folgen-Schwachstelle ermöglicht Kompromittierung des Systems
Zusammenfassung
QuMagie, die App zur Foto- und Videoverwaltung für QNAP-NAS-Geräte, enthält eine Schwachstelle beim Folgen symbolischer Links (Symlinks). Ein Angreifer mit gültigem Benutzerkonto auf dem NAS kann diese über das Netzwerk ohne Benutzerinteraktion ausnutzen, um die Sicherheit des Systems zu kompromittieren. Der CNA stuft die Lücke mit CVSS 4.0 9.4 als KRITISCH ein, der Herstellertext bestätigt jedoch keine Remote Code Execution, und es wurde keine Ausnutzung beobachtet.
Betroffen
- QuMagie 2.9.x vor 2.9.2 (CNA-Eintrag; VulDB beschreibt den Bereich als bis 2.9.1)
Behoben in
- QuMagie 2.9.2 und neuer
Umgehung
Unbekannt.
Ausnutzung
- Keine bekannte Ausnutzung; CISA SSVC führt die Ausnutzung als none und die Automatisierbarkeit als no.
- Kein öffentlicher Exploit-Code bestätigt (Daten eines Aggregators mit geringer Verlässlichkeit).
- EPSS 0.00488 (niedrig). Nicht im CISA KEV-Katalog gelistet.
Unsere Empfehlung
- QuMagie im QNAP App Center auf Version 2.9.2 oder neuer aktualisieren; priorisieren Sie NAS-Geräte, die aus dem Internet erreichbar sind oder geteilte Familien- oder Mitarbeiterkonten haben.
- Falls QuMagie nicht genutzt wird, die App entfernen.
- NAS-Benutzerkonten auf Personen beschränken, die sie benötigen, und starke, eindeutige Passwörter verwenden.
- Die NAS-Administrationsoberfläche und QuMagie nicht direkt dem Internet aussetzen.
- Weitere QuMagie-Schwachstellen von 2026 (CVE-2026-26236, CVE-2026-26237) prüfen und NAS-Firmware sowie Apps aktuell halten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- QNAP QuMagie release notes www.qnap.com
- VulDB CVE-2026-50612 vuldb.com
- OpenCVE CVE-2026-50612 app.opencve.io
- Vulners CVE-2026-50612 vulners.com
- QNAP QuMagie product page www.qnap.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:02.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.