QNAP License Center の脆弱性 CVE-2025-52871／53597 が FIX：情報漏洩とプロセス・クラッシュの恐れ

Multiple Vulnerabilities in QNAP Tools Let Attackers Obtain Secret Data

2026/01/05 CyberSecurityNews — QNAP が公表したのは、License Center アプリケーションに存在する複数のセキュリティ脆弱性の修正である。これらの脆弱性 CVE-2025-52871／CVE-2025-53597 を悪用した攻撃者は、影響を受ける NAS デバイス上で機密情報へアクセスし、サービス妨害を引き起こす可能性がある。これらの脆弱性は 2026年1月3日に公開された。

これらの脆弱性は、Medium レベルの深刻度と評価されている。すでに QNAP は、最新版で修正をリリースし、この問題に対処している。この脆弱性が影響を及ぼす範囲は、QNAP システムにおけるライセンス管理コンポーネント License Center のバージョン 2.0.x である。

これらの脆弱性は、認証を必要とするリモート攻撃に分類されている。したがって、攻撃者は、有効なアカウントへのアクセスを取得する必要があるため、窃取された認証情報／脆弱なパスワード／公開された管理者ポータルなどが主なリスク要因となる。

セキュリティ欠陥の概要

１つ目の脆弱性 CVE-2025-52871 は、境界外読み取りの欠陥に起因する。QNAP によると、ユーザー・アカウントへのアクセスを取得したリモート攻撃者が、この脆弱性を悪用して機密データを取得する可能性がある。境界外読み取りの脆弱性により、意図しないメモリ内容の漏洩が引き起こされることが多い。実行時のメモリに保存される内容である、トークン／キーなどの機密値が漏洩する恐れがある。

２つ目の脆弱性 CVE-2025-53597 は、バッファ・オーバーフローに起因する。QNAP によると、管理者アカウントへのアクセスを取得したリモート攻撃者が、この脆弱性を悪用してメモリを変更し、プロセスをクラッシュさせる可能性がある。この脆弱性の悪用により、影響を受けるシステムが不安定化し、サービス拒否 (DoS) に至る恐れがある。

CVE IDVulnerability TypeAffected ProductImpact
CVE-2025-52871Out-of-bounds ReadLicense Center 2.0.xA remote attacker with admin account can modify memory or crash processes
CVE-2025-53597Buffer OverflowLicense Center 2.0.xA remote attacker with an admin account can modify memory or crash processes

QNAP は、License Center 2.0.36 以降において、これらの脆弱性を修正している。

License Center 2.0.x を運用している、組織／個人ユーザーに対して強く推奨されるのは、最新バージョンへと速やかにアップデートすることだ。特に NAS がインターネットからアクセス可能な場合や、複数ユーザーで共有されている場合においては、迅速な更新が必要となる。

更新手順としては、QTS または QuTS hero の管理インターフェイスに管理者権限でログインし、システムメニューから “App Center” に移動する。”App Center” の検索機能で “License Center” を見つけ、アプリケーションを選択して “Update” をクリックする。その後は、表示されるプロンプトに従ってアップデートを完了させる。

この問題を報告した Coral に対して、QNAP は謝意を表している。

これらの脆弱性の原因は、プログラムがメモリ領域を扱う際の処理不備にあります。具体的には、用意された範囲を超えてデータを読み取ってしまう境界外読み取りと、許容量を超えるデータを書き込んでしまうバッファ・オーバーフローという、２つの不具合が重なっています。それらを悪用する攻撃者により、本来は見えてはいけない機密情報へのアクセスや、システムの異常終了が引き起こされるリスクが生じています。ご利用のチームは、ご注意ください。よろしければ、QNAP での検索結果も、ご参照ください。