CVE 데이터베이스CVE-2018-19953

최종 갱신 2026-10-01English Advisory →

CVE-2018-199536.1/MEDIUMCISA KEV 등재CWE-79CWE-80CWE-79

QNAP QTS NAS 운영체제 교차 사이트 스크립팅(XSS) 취약점 (CVE-2018-19953) 분석 및 대응 가이드

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

qnap

대상 컴포넌트 / 패키지

qts

권고문 발행일

2020-10-28

CVSS v3.1

6.1

MEDIUM

30일 악용확률

30.5%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

QNAP QTS 4.4.2.1231(빌드 20200302), 4.4.1.1201(빌드 20200130), 4.3.6.1218(빌드 20200214), 4.3.4.1190(빌드 20200107), 4.3.3.1161(빌드 20200109), 4.2.6(빌드 20200109) 및 이전 버전

파급 효과

원격의 공격자가 악성 스크립트를 주입하여 사용자의 세션을 탈취하거나, 관리자 권한으로 임의의 웹 콘솔 명령을 실행할 수 있습니다

권장 조치

QNAP 공식 권고에 따라 QTS 운영체제를 최신 패치 버전 이상으로 즉시 업그레이드하고, 외부 노출을 최소화하십시오

영향받는 제품 및 버전 범위

QNAP QTS 4.4.2.1231 Build 20200302 이전, QTS 4.4.1.1201 Build 20200130 이전, QTS 4.3.6.1218 Build 20200214 이전, QTS 4.3.4.1190 Build 20200107 이전, QTS 4.3.3.1161 Build 20200109 이전, QTS 4.2.6 Build 20200109 이전 버전

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

QNAP QTS 관리자 페이지에 접속하여 시스템 업데이트를 수행하거나, QNAP 다운로드 센터에서 모델에 맞는 최신 펌웨어를 수동으로 다운로드하여 적용해야 합니다. SSH 터미널을 통한 수동 업데이트 예시는 다음과 같습니다:

bash

# QNAP CLI를 통한 펌웨어 업데이트 트리거 및 상태 확인
/etc/init.d/update.sh /share/Public/TS-X82_20200302-4.4.2.1231.img

# 업데이트 완료 후 시스템 재부팅 수행
reboot

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 불가능한 경우, QTS 웹 관리 포트(기본 8080, 443)가 공인 인터넷에 직접 노출되지 않도록 방화벽 및 접근 제어 목록(ACL)을 설정해야 합니다. Nginx 리버스 프록시를 사용하는 경우 아래와 같이 보안 헤더를 강제 적용하여 XSS 공격의 파급력을 완화할 수 있습니다:

nginx

# Nginx 리버스 프록시 설정 내 보안 헤더 추가
add_header X-XSS-Protection '1; mode=block' always;
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline';" always;
add_header X-Content-Type-Options 'nosniff' always;

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

현재 운영 중인 QTS의 빌드 버전을 확인하고 웹 서버 로그에서 비정상적인 스크립트 주입 시도가 있었는지 점검하는 스크립트 예시입니다:

bash

# QTS 현재 버전 및 빌드 날짜 확인
getcfg System Version
getcfg System 'Build Number'

# Apache/Nginx 웹 로그에서 잠재적인 XSS 공격 패턴(<script>, onerror, onload 등) 검색
grep -Ei '(<script|javascript:|onerror=|onload=)' /usr/local/apache/logs/access_log

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

실제 공격에 악용된 이력이 있는 취약점이므로, 외부 인터넷에 노출된 QNAP NAS 장비의 QTS 운영체제를 즉시 최신 안전 버전으로 업데이트하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2018-19953)은 QNAP NAS 장비의 전용 운영체제인 QTS의 웹 관리 인터페이스에서 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 웹 애플리케이션이 사용자로부터 입력받은 매개변수나 요청 데이터를 적절한 검증 및 HTML 엔티티 인코딩 처리 없이 브라우저에 그대로 반환할 때 발생합니다 (CWE-79). 이로 인해 공격자가 조작한 악성 스크립트가 피해자의 브라우저 컨텍스트 내에서 실행될 수 있는 보안 허점이 존재합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 특수하게 조작된 악성 스크립트가 포함된 URL 링크를 생성한 후, QTS 웹 관리자 권한을 가진 사용자에게 이메일, 피싱, 혹은 사회공학적 기법을 통해 전달합니다. 피해자가 해당 링크를 클릭하여 QTS 웹 인터페이스에 접속하는 순간, 주입된 자바스크립트 코드가 피해자의 브라우저에서 실행됩니다. 이 과정에서 공격자는 피해자의 세션 쿠키(Session Cookie)를 탈취하여 세션 하이재킹을 수행하거나, 관리자 세션을 도용하여 NAS 장비의 설정을 임의로 변경하고 악성 사용자를 추가하는 등의 2차 공격을 수행할 수 있습니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CISA KEV(Known Exploited Vulnerabilities) 카탈로그에 등재되어 실제 야생(In-the-Wild)에서 공격자들에 의해 적극적으로 악용된 이력이 확인된 고위험군 취약점입니다. 성공적으로 익스플로잇될 경우 기업 내부망의 핵심 스토리지 자산인 NAS 장비의 제어권이 탈취될 수 있으며, 이는 기밀 데이터 유출, 랜섬웨어 감염을 통한 데이터 암호화 및 비즈니스 중단으로 이어질 수 있는 심각한 위협을 초래합니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

If exploited, this cross-site scripting vulnerability could allow remote attackers to inject malicious code. QNAP has already fixed the issue in the following QTS versions. QTS 4.4.2.1231 on build 20200302; QTS 4.4.1.1201 on build 20200130; QTS 4.3.6.1218 on build 20200214; QTS 4.3.4.1190 on build 20200107; QTS 4.3.3.1161 on build 20200109; QTS 4.2.6 on build 20200109.

https://www.qnap.com/zh-tw/security-advisory/qsa-20-01

출처: security@qnapsecurity.com.tw · Vendor Advisory

https://www.qnap.com/zh-tw/security-advisory/qsa-20-01

출처: af854a3a-2127-422b-91ae-364da2661108 · Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-19953

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2018-19953)

FAQ

Q1. CVE-2018-19953 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2018-19953의 기본 점수는 CVSS 6.1 (MEDIUM)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 30.5%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2018-19953에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 qnap이며, 대상 컴포넌트는 qts입니다. 상세 영향 범위: QNAP QTS 4.4.2.1231 Build 20200302 이전, QTS 4.4.1.1201 Build 20200130 이전, QTS 4.3.6.1218 Build 20200214 이전, QTS 4.3.4.1190 Build 20200107 이전, QTS 4.3.3.1161 Build 20200109 이전, QTS 4.2.6 Build 20200109 이전 버전