QNAP, empresa taiwanesa especializada en el diseño y fabricación de dispositivos de almacenamiento conectado en red (NAS) y soluciones asociadas, ha sido afectada por dos vulnerabilidades.
Vulnerabilidades identificadas
Las vulnerabilidades se han identificado bajo los códigos CVE-2025-52856 y CVE-2025-52861. Estas afectan al componente QVR para VioStor NVR heredado (legacy) en la rama de versiones 5.1.x, según se detalla en el boletín de seguridad publicado por QNAP.
Detalles de las vulnerabilidades
La primera vulnerabilidad está relacionada con un problema en el sistema de autenticación del firmware QVR (VioStor). Esto permite que un atacante, de manera remota, omita todo sistema de autenticación y acceda al sistema sin necesidad de credenciales válidas ni otros mecanismos de defensa como sistemas multifactor.
La segunda vulnerabilidad permite que un atacante remoto, tras obtener acceso a una cuenta con permisos de administración, acceda a ficheros e información del sistema para la cual no tenía autorización. Esta vulnerabilidad suele explotarse manipulando los parámetros que incluyen rutas a ficheros o directorios utilizando técnicas como el clásico «../». Si la aplicación es vulnerable, se podría llegar a acceder a datos sensibles del sistema. La información obtenida puede contener credenciales y aspectos de configuración del servidor, lo que permitiría al atacante comprometer totalmente la infraestructura.
Versiones afectadas
Las versiones afectadas abarcan la rama 5.1.x de QVR.
Solución y mitigaciones
- Actualizar el sistema a la versión 6.1.6 (20250621) o posterior para que el sistema quede protegido.
- Iniciar sesión en VioStor NVR con privilegios de administración.
- Ir al panel de control -> Configuración del sistema -> Actualización del firmware.
- Seleccionar la pestaña «Actualización de firmware».
- Hacer clic en «Explorar…» (puede variar según el idioma) para subir el fichero de la versión actualizada del producto. QN, referencia la URL de descarga para asegurar una actualización de firmware legítima.
- Hacer clic en «Actualizar sistema».