QNAP-NAS: Kritische Lücke erlaubt Zugriff auf Dateisystem

Kritische Lücke bei QNAP-NAS: Ein Sicherheitsfehler erlaubte Zugriff auf geschützte Dateisystembereiche - betroffen waren weltweit tausende Geräte. Jetzt berichtet der Hersteller über Patches, die zeitnah installiert werden sollten.

Betroffen sind QTS und QuTS hero

Der NAS-Hersteller QNAP hat mehrere Sicherheitslücken in seinen Betriebssystemen QTS und QuTS hero geschlossen. Eine besonders schwerwiegende Schwachstelle ermöglichte laut Hersteller, dass Angreifer unter bestimmten Umständen auf geschützte Bereiche des Dateisystems zugreifen konnten - und damit potenziell sensible Daten einsehen oder verändern.

Nach Angaben von QNAP handelt es sich um eine sogenannte Path-Traversal-Schwachstelle (CVE-2025-66277), die als kritisch eingestuft wurde. Betroffen sind alle Versionen QTS 5.2.x und QuTS hero h5.2.x.


Über manipulierte Pfadangaben konnten Angreifer das reguläre Verzeichnislimit umgehen und dadurch auf Systembereiche gelangen, die eigentlich vor Zugriffen geschützt sind. Ob und in welchem Umfang diese Lücke bereits ausgenutzt wurde, ist bislang nicht bekannt.

Neben dieser kritischen Lücke beseitigte das Unternehmen auch mehrere weitere Sicherheitsprobleme mit mittlerem und niedrigem Risiko (unter anderem CVE-2025-47205, CVE-2025-58466, CVE-2025-59386). Einige dieser Fehler konnten Denial-of-Service-Zustände auslösen und betroffene NAS-Geräte zum Absturz bringen.

Update verfügbar

QNAP hat nach eigenen Angaben alle Schwachstellen in den aktuellen Versionen QTS 5.2.8.3350 build 20251216, QuTS hero h5.2.8.3350 build 20251216 und QuTS hero h5.3.2.3354 build 20251225 behoben. Alle Informationen stellt QNAP auf der Webseite zur Verfügung. Nutzer sollten ihre Systeme schnellstmöglich auf den neuesten Stand bringen, um mögliche Angriffe zu verhindern.

Bislang liegen keine Hinweise vor, dass Cyberkriminelle die Lücken bereits aktiv ausnutzen. Dennoch rät QNAP allen Nutzern dringend zu einem Update - insbesondere, wenn die NAS-Systeme direkt mit dem Internet verbunden sind.

Wie bewertest du QNAPs Reaktion - transparent gelöst oder zu spät gehandelt? Teile deine Meinung in den Kommentaren!


Siehe auch: