QNAP untersucht derzeit CVE-2026-31431, auch bekannt als Copy Fail. Für alle Nutzer, die sich über die Auswirkungen dieser Sicherheitslücke auf QNAP NAS-Geräte Sorgen machen, stellen wir hier ergänzende Informationen bereit.
Kurz gesagt: Die meisten QNAP NAS-Modelle sind von dieser Schwachstelle nicht betroffen.
Das Problem betrifft ausschließlich einige ARM-basierte QNAP NAS-Modelle, die bestimmte Linux-Kernel-Versionen ausführen. Der aktuelle Stand der Bewertung ist wie folgt:
- Alle x86-basierten QNAP NAS-Modelle sind nicht betroffen.
- ARM-basierte NAS-Modelle, die QTS 4.x ausführen, sind nicht betroffen.
- Die Schwachstelle betrifft lediglich bestimmte ARM-basierte NAS-Modelle mit betroffener Kernel-Version.
Bitte konsultieren Sie die offizielle QNAP Security Advisory für aktuelle Informationen:
https://www.qnap.com/go/security-advisory/qsa-26-16
Zur Schwachstelle
Die Schwachstelle ist ein Problem mit lokaler Rechteausweitung.
Das bedeutet, ein Angreifer muss zunächst in der Lage sein, auf dem NAS als normaler, nicht-administrativer Nutzer Code auszuführen, um die Lücke auszunutzen. Sie ist daher nicht direkt über das Internet ausnutzbar, bevor ein Angreifer irgendeinen lokalen Zugriff erhalten hat.
Bei QNAP NAS-Geräten sind Zugriffe per SSH und Telnet standardmäßig auf Nutzer der Administratorgruppe beschränkt. Insbesondere wenn Sie Dienste oder Container betreiben, die von anderen Nutzern oder externen Netzwerken aus erreichbar sind, empfehlen wir, regelmäßig die Veröffentlichung von System und Anwendungen zu überprüfen.
Empfohlene Maßnahmen
Als allgemeine Maßnahmen zur Risikominderung empfehlen wir Folgendes:
- Gewähren Sie Shell-Zugriff nur Administratoren und nur wenn unbedingt nötig.
- Verwenden Sie ausschließlich Container-Images aus vertrauenswürdigen Quellen.
- Überprüfen Sie die Einstellungen von Container Station und stellen Sie sicher, dass keine unberechtigten Nutzer Zugriff auf Container erhalten.
- Halten Sie alle Anwendungen, Container und Dienste auf dem neuesten Stand.
- Deaktivieren Sie nicht benötigte Dienste und Anwendungen.
- Sollte der integrierte Webserver nicht genutzt werden, deaktivieren Sie ihn über Systemsteuerung > Webserver.
- Platzieren Sie Ihr NAS hinter einer Firewall und vermeiden Sie eine direkte Veröffentlichung im Internet.
- Überprüfen Sie regelmäßig die offiziellen Sicherheitshinweise und installieren Sie bereitgestellte Updates umgehend.
QNAP arbeitet derzeit an entsprechenden Sicherheitsupdates. Sobald weitere Informationen oder Patches verfügbar sind, aktualisieren wir die offizielle Advisory.
Sollten Sie Bedenken hinsichtlich Ihrer spezifischen Systemkonfiguration haben, wenden Sie sich bitte an den QNAP Support.
Zum Schutz Ihrer Sicherheit veröffentlichen Sie bitte keine sensiblen Informationen wie öffentliche IP-Adressen, Benutzernamen, Seriennummern von Geräten, vollständige Protokolle oder detaillierte Systemkonfigurationen im Forum.
— QNAP Community Team
Basierend auf Informationen des QNAP Product Security Incident Response Teams