檔案同步工具Qsync測出XSS瑕疵，宜安裝QNAP更新版本
- 發布單位:TWCERT/CC
- 更新日期:2019-04-03
- 點閱次數:501
CVE編號
CVE-2018-0716
內文
●概述：
威聯通以Linux為基礎，研發專屬Turbo NAS作業系統QTS，並搭配Qsync檔案同步工具，Qsync Client操作者將檔案拖至Qsync資料夾後，NAS端Qsync Central Station會讓其他連線中Client(桌機或行動裝置)同步更新檔案，經研究員Marcin Zieba分析，指出一項高危險程度的跨站台腳本漏洞，恐讓攻擊者遠端注入惡意JavaScript碼，干擾數版Qsync Central在不同QTS環境上作業安全性，據11月29日QNAP Systems官方公告，已升級相關Qsync Central，可按本文所述步驟執行更新。
●編註：
經測試該cross-site scripting漏洞，攻擊者對NAS端Qsync Central Station進行探勘，注入惡意JavaScript程式碼，將危害合法Qsync Client用戶之連線操作，若是QTS 4.2.6 build 20180711以前版本，則須更新QTS作業系統，而QTS 4.3.3、4.3.4、4.3.5系列，則針對Qsync Central (3.0.2、3.0.3、3.0.4)工具升級即可。
影響產品
QTS 4.2.6 build 20180711以前版本／ Qsync Central 3.0.2以前版本／ Qsync Central 3.0.3以前版本／ Qsync Central 3.0.4以前版本
解決辦法
(1)更新QTS 4.2.6步驟：瀏覽控制台 -> 系統 -> 韌體更新，按下檢查更新，自動執行後續下載&安裝。
(2)更新Qsync Central 3.0.2.01、3.0.3.01、3.0.4.01步驟：管理者開啟App Center -> 搜尋Qsync Central -> 搜尋清單顯示最新版號 -> 確認更新。