QNAPとSynologyのNASにもPHPの脆弱性、修正版を公開

やること

10月21日に公表された PHP の脆弱性2件は、PHP2Shell と呼ばれています。PHP は Web サイトを動かすプログラム言語で、NAS の OS やアプリの中でも使われています。

• QNAP は、QTS、QuTS hero、QuTScloud を修正版へ更新します。Notes Station 3 は App Center から更新します
• Synology は、Synology Calendar、Mail Station、PHP の各パッケージを更新します
• Synology の PHP 7.3 には修正版が出ません。修正版のある PHP へ移ってください

すぐに更新できない QNAP の機器は、ポート転送と UPnP を止め、管理用のポート（初期値は 8080 と 443）に届く範囲を絞ります。

何が危ないのか

QNAP は10月22日に勧告 QSA-26-18 を公開しました。ログインなしで外から任意のコードを実行されるおそれがあります。CVSS は v4.0 で 9.2 です。QNAP は、PHP への攻撃の試みは報告されているものの、QNAP 製品を狙った攻撃の報告は受けていないとしています。

Synology も同じ日に勧告 Synology-SA-26:14 を公開しました。深刻度は Critical です。DSM に組み込まれた PHP は外から攻撃できる場所になく、悪用の危険はとても低いとしています。勧告に攻撃の記載はありません。

PHP の脆弱性としては、米国の CISA が10月26日に、悪用が確認された一覧に載せました。

対象

対象は上の表のとおりです。Synology の Calendar、Mail Station、PHP 7.4、PHP 8.0 は、DSM の版ごとに修正版の番号が違います。QNAP の QNE も対象で、別の勧告 QSA-26-19 が出ています。