Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Низкий
Опубликована

CVE-2024-48866

QTS, QuTS hero

Публикация: 06.12.2024·Обновлена: 06.12.2024, 22:29·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

An improper handling of URL encoding (Hex Encoding) vulnerability has been reported to affect several QNAP operating system versions. If exploited, the vulnerability could allow remote attackers to run the system into unexpected state. We have already fixed the vulnerability in the following versions: QTS 5.1.9.2954 build 20241120 and later QTS 5.2.2.2950 build 20241114 and later QuTS hero h5.1.9.2954 build 20241120 and later QuTS hero h5.2.2.2952 build 20241116 and later

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Плановое окно после оценки применимости

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

We have already fixed the vulnerability in the following versions: QTS 5.1.9.2954 build 20241120 and later QTS 5.2.2.2950 build 20241114 and later QuTS hero h5.1.9.2954 build 20241120 and later QuTS hero h5.2.2.2952 build 20241116 and later

CVE Record: qnap ↗

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

QNAP Systems Inc. / QTS 

{
  "status": "affected",
  "version": "5.1.x",
  "lessThan": "5.1.9.2954 build 20241120",
  "versionType": "custom"
}
{
  "status": "affected",
  "version": "5.2.x",
  "lessThan": "5.2.2.2950 build 20241114",
  "versionType": "custom"
}

QNAP Systems Inc. / QuTS hero 

{
  "status": "affected",
  "version": "h5.1.x",
  "lessThan": "h5.1.9.2954 build 20241120",
  "versionType": "custom"
}
{
  "status": "affected",
  "version": "h5.2.x",
  "lessThan": "h5.2.2.2952 build 20241116",
  "versionType": "custom"
}

CVSS: оценки и векторы

CVSS 4.0 · cve2.3
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
AV · Вектор атакисеть
AC · Сложность атакинизкая
AT · Условия атакинужны условия
PR · Привилегиине нужны
UI · Участие пользователяпассивное
VC · Конфиденциальность уязвимой системынет
VI · Целостность уязвимой системынизкое
VA · Доступность уязвимой системынет
SC · Конфиденциальность связанной системынет
SI · Целостность связанной системынет
SA · Доступность связанной системынет

Классы CWE

CWE-177 · Неправильная обработка кодирования URL (Hex Encoding)

Источники и ссылки

Материал · www.qnap.com · cveCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-02T21:07:43.853425+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T23:57:39.364763+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T23:57:39.364763+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T23:57:39.364763+00:00"
  },
  "solutions": [
    "cve"
  ],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-02T21:07:43.853425+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T23:57:39.364763+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

  1. Данные обновлены03.11.2026, 00:07
  2. Данные обновлены02.11.2026, 00:06
  3. Данные обновлены31.10.2026, 11:54
  4. Данные обновлены30.10.2026, 13:11
  5. Данные обновлены29.10.2026, 10:29
  6. Опубликована29.10.2026, 02:57

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2026-41539
QTS, QuTS hero
QNAP Systems Inc. / QTS · QNAP Systems Inc. / QuTS hero
Средний6.3
0,19 %
09.06.2026
CVE-2025-62850
NULL Pointer Dereference in networkRequest.cgi
QNAP Systems Inc. / QTS · QNAP Systems Inc. / QVP
Средний5.1
0,44 %
10.06.2026
CVE-2024-38639
QTS
QNAP Systems Inc. / QTS
Средний4.8
0,39 %
18.09.2026
CVE-2026-24717
QTS, QuTS hero
QNAP Systems Inc. / QTS · QNAP Systems Inc. / QuTS hero
Низкий1.2
0,39 %
10.06.2026
CVE-2026-24716
QTS, QuTS hero
QNAP Systems Inc. / QTS · QNAP Systems Inc. / QuTS hero
Низкий1.2
0,33 %
10.06.2026
CVE-2024-48866: QTS, QuTS hero · CVE Радар