CVE-2018-19949: qnap qts

csirt@kutim:~/threat-intel/cve/CVE-2018-19949

CVSS 9.8 · Critical KEV · sudah dieksploitasi Dipakai ransomware EPSS 28,6%

Kerentanan Improper Input Validation pada qnap qts. Skor CVSS 3.1 9.8 (Critical) menurut NVD. Masuk katalog KEV CISA pada 24 Mei 2022, artinya sudah terbukti dieksploitasi. Tercatat dipakai dalam kampanye ransomware.

Deskripsi (NVD)

If exploited, this command injection vulnerability could allow remote attackers to run arbitrary commands. QNAP has already fixed the issue in the following QTS versions. QTS 4.4.2.1231 on build 20200302; QTS 4.4.1.1201 on build 20200130; QTS 4.3.6.1218 on build 20200214; QTS 4.3.4.1190 on build 20200107; QTS 4.3.3.1161 on build 20200109; QTS 4.2.6 on build 20200109.

Rincian

Terbit di NVD: 28 Oktober 2020
Terakhir diubah: 2 Oktober 2026
Status NVD: Analyzed
CVSS 3.1: 9.8 (Critical), sumber NVD
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H · uraikan di kalkulator
Jenis kelemahan (CWE): CWE-20: Improper Input Validation
CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection')
CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')
EPSS (30 hari): 28,6% peluang dieksploitasi; lebih tinggi dari 98,1% CVE lain

Known Exploited Vulnerabilities (CISA)

Nama: QNAP NAS File Station Command Injection Vulnerability
Masuk KEV: 24 Mei 2022
Tenggat CISA: 14 Juni 2022 (untuk instansi federal AS)
Ransomware: Tercatat dipakai dalam kampanye ransomware
Tindakan wajib: Apply updates per vendor instructions.

Produk dan versi terdampak

Vendor	Produk	Versi terdampak
qnap	qts	Semua versi sebelum 4.2.6
qnap	qts	Versi 4.3.1.0013 hingga sebelum 4.3.3.1161
qnap	qts	Versi 4.3.4 hingga sebelum 4.3.4.1190
qnap	qts	Versi 4.3.6 hingga sebelum 4.3.6.1218
qnap	qts	Versi 4.4.0 hingga sebelum 4.4.1.1201
qnap	qts	Versi 4.4.2 hingga sebelum 4.4.2.1231
qnap	qts	Versi 4.2.6
qnap	qts	Versi 4.2.6 build_20170517
qnap	qts	Versi 4.2.6 build_20190322
qnap	qts	Versi 4.2.6 build_20190730
qnap	qts	Versi 4.2.6 build_20190921
qnap	qts	Versi 4.2.6 build_20191107

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

https://www.qnap.com/zh-tw/security-advisory/qsa-20-01 advisory vendor
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-19949 pemerintah AS

Sumber: NVD · CVE.org · KEV CISA · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:10 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.