QNAP、レガシーVioStor NVR向けQVRに複数の重要脆弱性(CVE-2025-52856,CVE-2025-52861)|セキュリテと脆弱性のィニュース-セキュリティ対策 Lab

投稿日時: 2025年09月04日更新日時: 2025年09月04日

NASメーカーのQNAPは、2025年8月29日レガシーVioStor NVR向けQVR 5.1.xで複数の脆弱性が報告されたとして、修正済みファームウェアを公開しました。

対象バージョン

5.1.x のうち修正前

QVR 5.1.6 build 20250621 以降

複数の脆弱性を悪用する事により認証回避によりデバイス乗っ取り、録画データへの不正アクセス、設定改ざん・停止などのリスクがあります。さらに管理者アカウントを奪取された場合、パストラバーサルで想定外のシステムファイルや機密データが読み出される恐れがあります。

リモート攻撃者が認証機構の欠陥を突き、有効な資格情報なしに保護領域へ到達できる可能性があります。

装置の完全な妥協（録画視聴・設定変更・ユーザー作成等）に直結し得るため、最優先での対処が必要です。

攻撃者が管理者権限を得た後、ディレクトリトラバーサルによって本来想定しないファイルや構成情報を閲覧できる問題です。初期侵入（例：52856の悪用、弱いパスワード、流出クレデンシャル）と組み合わさると被害の深刻度が増します。