NVD Vulnerability Detail

CVE-2015-6003

Summary	Directory traversal vulnerability in QNAP QTS before 4.1.4 build 0910 and 4.2.x before 4.2.0 RC2 build 0910, when AFP is enabled, allows remote attackers to read or write to arbitrary files by leveraging access to an OS X (1) user or (2) guest account.
Publication Date	Oct. 16, 2015, 10:59 a.m.
Registration Date	Jan. 26, 2021, 2:53 p.m.
Last Update	Nov. 21, 2024, 11:34 a.m.

CVSS2.0 : HIGH
Score	9.3
Vector	AV:N/AC:M/Au:N/C:C/I:C/A:C
攻撃元区分(AV)	ネットワーク
攻撃条件の複雑さ(AC)	中
攻撃前の認証要否(Au)	不要
機密性への影響(C)	高
完全性への影響(I)	高
可用性への影響(A)	高
Get all privileges.	いいえ
Get user privileges	いいえ
Get other privileges	いいえ
User operation required	いいえ

Affected software configurations

Configuration1	or higher	or less	more than	less than
cpe:2.3:o:qnap:qts::rc1::::::*		4.2.0
cpe:2.3:o:qnap:qts::::::::		4.1.4

Related information, measures and tools

No	URL	タグ
1	http://www.kb.cert.org/vuls/id/751328	Third Party Advisory US Government Resource
2	http://www.kb.cert.org/vuls/id/751328	Third Party Advisory US Government Resource
3	http://www.securitytracker.com/id/1033794
4	http://www.securitytracker.com/id/1033794
5	https://www.qnap.com/i/en/support/con_show.php?cid=85	Vendor Advisory
6	https://www.qnap.com/i/en/support/con_show.php?cid=85	Vendor Advisory

Common Vulnerabilities List

No	CWE	Name	URL
1	CWE-22	パス・トラバーサル	https://cwe.mitre.org/data/definitions/22.html

JVN Vulnerability Information

QNAP QTS にパストラバーサルの脆弱性

Title	QNAP QTS にパストラバーサルの脆弱性
Summary	QNAP QTS は、Network Attached Storage (NAS) の OS です。QNAP QTS には、AFP プロトコルで OS X からアクセスされる場合にパストラバーサルの脆弱性が存在します。相対パストラバーサル (CWE-23) - CVE-2015-6003 Apple Filing Protocol (AFP) を有効にしている場合、OS X のユーザ (認証されていないゲストアカウントを含む) が、QNAP QTS 機器上の任意のファイルを閲覧したり書き換えたりする可能性があります。 CWE-23: Relative Path Traversal https://cwe.mitre.org/data/definitions/23.html Apple Filing Protocol https://developer.apple.com/library/mac/documentation/Networking/Conceptual/AFP/Introduction/Introduction.html AFP を有効にしているユーザのみが本脆弱性の影響を受けます。製品のドキュメントによれば、初期設定では AFP は無効になっています。詳しくは、開発者が提供するアドバイザリをご確認ください。アドバイザリ https://www.qnap.com/i/en/support/con_show.php?cid=85
Possible impacts	Apple Filing Protocol (AFP) を有効にしている場合、機器上の任意のファイルを閲覧されたり書き換えられたりする可能性があります。
Solution	[ファームウェアをアップデートする] 開発者が提供する情報をもとに、ファームウェアをアップデートしてください。開発者は、本脆弱性の対策版として QTS 4.1.4 Build 0910 および QTS 4.2.0 RC2 (Build 0910) をリリースしています。
Publication Date	Oct. 12, 2015, midnight
Registration Date	Oct. 14, 2015, 5:28 p.m.
Last Update	Oct. 19, 2015, 3:54 p.m.

Affected System

QNAP Systems

QNAP QTS 4.1.4 Build 0910 より前のバージョン

QNAP QTS 4.2.0 RC2 Build 0910 より前のバージョン

CVE (情報セキュリティ共通脆弱性識別子)

No	Name	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2015-6003	https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-6003
National Vulnerability Database (NVD)
2	CVE-2015-6003	https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-6003

CWE (共通脆弱性タイプ一覧)

No	Name	URL
JVNDB
1	CWE-22	https://jvndb.jvn.jp/ja/cwe/CWE-22.html
2	CWE-Other	https://www.ipa.go.jp/security/vuln/CWE.html#CWEOther

ベンダー情報

No	Name	URL
QNAP Security
1	Security vulnerabilities addressed in QTS 4.1.4 Build 0910 and 4.2.0 RC2 (Build 0910)	https://www.qnap.com/i/en/support/con_show.php?cid=85

その他

No	Name	URL
JVN
1	JVNVU#96884018	http://jvn.jp/vu/JVNVU96884018/index.html
US-CERT Vulnerability Note
2	VU#751328	https://www.kb.cert.org/vuls/id/751328

Change Log

No	Changed Details	Date of change
0	[2015年10月14日] 掲載 [2015年10月19日] 参考情報：National Vulnerability Database (NVD) (CVE-2015-6003) を追加 CVSS による深刻度：内容を更新 CWE による脆弱性タイプ一覧：CWE-ID を追加	Feb. 17, 2018, 10:37 a.m.