QNAP saat ini sedang menyelidiki CVE-2026-31431, yang juga dikenal sebagai Copy Fail, dan kami ingin memberikan klarifikasi bagi pengguna yang mungkin khawatir mengenai dampaknya terhadap perangkat QNAP NAS.
Singkatnya, sebagian besar model QNAP NAS tidak terdampak oleh kerentanan ini.
Masalah ini hanya memengaruhi model QNAP NAS berbasis ARM tertentu yang menjalankan versi Linux kernel tertentu yang terdampak. Berdasarkan penilaian kami saat ini:
- Semua model QNAP NAS berbasis x86 tidak terdampak.
- Model NAS berbasis ARM yang menjalankan QTS 4.x tidak terdampak.
- Masalah ini hanya berlaku untuk model NAS berbasis ARM tertentu yang menjalankan versi kernel yang terdampak.
Silakan merujuk ke QNAP Security Advisory resmi untuk informasi terbaru:
https://www.qnap.com/go/security-advisory/qsa-26-16
Tentang kerentanan ini
Kerentanan ini merupakan masalah eskalasi hak istimewa lokal.
Artinya, penyerang harus terlebih dahulu dapat menjalankan kode pada NAS sebagai pengguna biasa, yaitu pengguna non-administrator, sebelum mencoba mengeksploitasi kerentanan ini. Ini bukan kerentanan yang dapat dieksploitasi langsung dari internet tanpa terlebih dahulu memperoleh suatu bentuk akses lokal.
Pada perangkat QNAP NAS, akses SSH dan Telnet secara default dibatasi hanya untuk pengguna dalam grup administrator. Namun demikian, pengguna tetap disarankan untuk meninjau paparan sistem dan aplikasi mereka, terutama jika menjalankan layanan atau container yang dapat diakses oleh pengguna lain atau dari jaringan eksternal.
Tindakan yang disarankan
Untuk mengurangi risiko secara umum, kami merekomendasikan hal-hal berikut:
- Jangan memberikan akses shell kepada pengguna non-administrator kecuali benar-benar diperlukan.
- Hanya jalankan image container dari sumber yang tepercaya.
- Tinjau pengaturan Container Station dan hindari pemberian akses container yang tidak diperlukan kepada pengguna.
- Selalu perbarui aplikasi, container, dan layanan.
- Nonaktifkan layanan dan aplikasi yang tidak digunakan.
- Jika Web Server bawaan tidak sedang digunakan secara aktif, pertimbangkan untuk menonaktifkannya melalui Control Panel > Web Server.
- Tempatkan NAS di belakang firewall dan hindari mengeksposnya langsung ke internet.
- Ikuti security advisory resmi dan instal pembaruan keamanan segera setelah tersedia.
QNAP sedang menyiapkan pembaruan keamanan dan akan memperbarui advisory ketika informasi tambahan atau perbaikan tersedia.
Jika Anda memiliki kekhawatiran terkait konfigurasi sistem tertentu, silakan hubungi QNAP Support untuk bantuan lebih lanjut.
Demi keamanan Anda, mohon jangan memposting informasi sensitif secara publik di forum, seperti alamat IP publik, nama pengguna, nomor seri perangkat, log lengkap, atau konfigurasi sistem secara rinci.
— QNAP Community Team
Berdasarkan informasi dari QNAP Product Security Incident Response Team