Ich bin ein intensiver Container-Nutzer und habe mehrere Container über Container Station bereitgestellt. Da diese neue Schwachstelle die Sicherheit in Container-Umgebungen gefährdet, würde ich gerne wissen: Sind QUTS/QTS von dieser Sicherheitslücke betroffen?
Falls ja, plant QNAP, diese Schwachstelle in den Hauptversionen QTS 5.2/QUTS 5.2/QUTS 5.3/QUTS 6.0 Beta so schnell wie möglich zu beheben? Oder sollte ich vorsichtshalber alle Container herunterfahren, um weiteres Risiko zu vermeiden?
Das kommt auf deine Risikobereitschaft an. Nur weil eine Schwachstelle bekannt ist, heißt das nicht, dass sie auch tatsächlich auf deinem System ausgenutzt wird.
Wenn dir das Risiko Sorgen macht, würde ich alle internetzugänglichen Container vom Internet trennen.
Wenn dein NAS komplett hinter deiner Firewall steht, brauchst du dir keine Sorgen zu machen.
Hallo @Sam25,
vielen Dank, dass du dieses Thema angesprochen hast.
QNAP nimmt Informationssicherheit sehr ernst. Für CVE-2026-31431 / „Copy Fail“ hat QNAP eine offizielle Sicherheitsempfehlung veröffentlicht, die du hier findest:
https://www.qnap.com/en/security-advisory/qsa-26-16
In dieser Empfehlung findest du offizielle Informationen, darunter den betroffenen Geltungsbereich, nicht betroffene Produkte und empfohlene Sicherheitsmaßnahmen. Wir empfehlen, die Sicherheitsempfehlung als Hauptquelle heranzuziehen.
Zur allgemeinen Risikoverminderung können Nutzer:innen auch die in der Empfehlung aufgeführten Sicherheitsmaßnahmen prüfen, wie zum Beispiel das Begrenzen von Shell- oder Terminalzugängen für Nicht-Administratoren, die Nutzung ausschließlich vertrauenswürdiger Container-Images, das Deaktivieren nicht benötigter Dienste und das Vermeiden einer direkten Anbindung des NAS ans Internet.
Nochmals vielen Dank, dass du dieses Thema in der Community angesprochen hast.
Ich habe gerade meine Geräte mit diesem PoC getestet: GitHub - rootsecdev/cve_2026_31431: Exploit POC for CVE_2026_31431 · GitHub
Ich kann die Angaben in der Sicherheitswarnung bestätigen: Das einzige QNAP NAS, das von diesem Problem betroffen ist, hat eine ARM64-CPU (TS-216G mit QTS 5.2.9.3451).
[/share/Public] # python3 test_cve_2026_31431.py; echo $?
[*] CVE-2026-31431 detector kernel=5.10.60-qnap arch=aarch64
[i] Kernel 5.10.60-qnap ist älter als die betroffenen 6.12/6.17/6.18-Versionen; der Trigger könnte nicht zutreffen, selbst wenn die Voraussetzungen passen.
[+] AF_ALG + 'authencesn(hmac(sha256),cbc(aes))' ladbar – Voraussetzung erfüllt.
[!] ANFÄLLIG für CVE-2026-31431.
[!] Marker b'PWND' (AAD seqno_lo) ist auf der gesplichteten Page-Cache-Seite bei Offset 0 gelandet.
[!] Umgebende Bytes: 50574e444641494c2d53454e (b'PWNDFAIL-SEN')
[!] Wende den Upstream-Fix an oder blockiere algif_aead sofort.
2
Alle anderen Architekturen waren OK. 
Edit: Hier ein x86-64 (TS-251+ mit QTS 5.2.9.3451):
[/share/Public] # python3 test_cve_2026_31431.py; echo $?
[*] CVE-2026-31431 detector kernel=5.10.60-qnap arch=x86_64
[i] Kernel 5.10.60-qnap ist älter als die betroffenen 6.12/6.17/6.18-Versionen; der Trigger könnte nicht zutreffen, selbst wenn die Voraussetzungen passen.
[+] Voraussetzung nicht erfüllt (AF_ALG Socket-Familie nicht verfügbar (Adressfamilie wird vom Protokoll nicht unterstützt)). NICHT anfällig.
0
Ich fand es ziemlich interessant, dass nur die QNAP-Modelle mit Arm betroffen sind. Die x86-Modelle müssen wohl einen anderen Kernel verwenden. Tatsächlich hat sich doch neulich jemand darüber beschwert, dass sein QNAP einen „alten“ Linux-Kernel benutzt, oder? 
Ich denke, diese spezielle Schwachstelle hängt von den Fähigkeiten des Kernels ab, die zur Kompilierzeit festgelegt werden. Ich vermute, QNAP kompiliert den aarch64-Kernel mit anderen Optionen als die der anderen NAS-Architekturen.
Aber ich könnte mich auch irren. Ich bin kein Kernel-Guru. 
Vom Design her müssen ARM und x86_64 unterschiedliche Kernel haben.
Ein weiterer Punkt ist, dass die ARM-Modelle auf das Toolchain der SoC-Hersteller angewiesen sind und oft auf dem von SoC-Herstellern angepassten Linux basieren, anstatt auf einem generischen Arch wie bei x86. Wir haben zwar Zugriff auf den gesamten Kernel-Code, aber solange alles funktioniert, ändern wir nicht alles. Deshalb können die Ergebnisse unterschiedlich ausfallen.
Ein Nutzer im deutschen Forum spekuliert, dass QNAP ein bestimmtes Modul nicht in die x86-NAS-Kernel-Versionen kompiliert hat.
Follow-up: Habe das neu veröffentlichte QTS 5.2.10.3568 auf meinem ARM64 NAS auf diese Schwachstelle überprüft:
[/share/Public] # python3 test_cve_2026_31431.py; echo $?
[*] CVE-2026-31431 Detector Kernel=5.10.60-qnap Architektur=aarch64
[i] Kernel 5.10.60-qnap ist älter als die betroffenen 6.12/6.17/6.18-Versionen; der Trigger könnte also nicht zutreffen, selbst wenn die Voraussetzungen passen.
[+] Voraussetzung nicht erfüllt ('authencesn(hmac(sha256),cbc(aes))' kann nicht instanziiert werden (Keine solche Datei oder Verzeichnis)). NICHT verwundbar.
0
Gute Nachrichten.