Resumo
A QNAP publicou correções para múltiplas vulnerabilidades no aplicativo License Center (License Center 2.0.x) — rastreadas como CVE-2025-52871 e CVE-2025-53597 — que, segundo a fabricante, poderiam permitir divulgação de dados ou instabilidade caso um atacante com conta válida explorasse as falhas.
Descrição das falhas
De acordo com a nota citada na reportagem, CVE-2025-52871 é um problema de leitura fora de limites (out-of-bounds read) que pode permitir a exposição de dados em memória se um atacante obtiver acesso a uma conta. CVE-2025-53597 é descrita como uma falha de estouro de buffer (buffer overflow) que, nas condições relatadas, permitiria a modificação de memória ou a queda de processos, potencialmente causando instabilidade ou negação de serviço.
Ambiente afetado e pré-requisitos
As vulnerabilidades afetam License Center 2.0.x. A QNAP classifica as falhas como de severidade moderada e informa que, para exploração, o atacante precisaria primeiro ter acesso a uma conta válida — o que torna fatores como roubo de credenciais, senhas fracas ou portais administrativos expostos vetores de risco relevantes.
Correção e mitigação
A QNAP informou que as correções foram disponibilizadas em License Center 2.0.36 e versões posteriores. A matéria original lista o procedimento para atualização via interface QTS/QuTS hero: autenticar com privilégios de administrador, acessar App Center, localizar License Center e aplicar a atualização disponibilizada.
Recomendações práticas
- Atualizar imediatamente para License Center 2.0.36 ou versão posterior caso o componente esteja em uso.
- Revisar exposição de interfaces de administração e fortalecer senhas e políticas de autenticação para reduzir risco de comprometimento de contas.
- Auditar logs de acesso em sistemas afetos e validar integridade de processos se houver sinais de instabilidade.
Crédito e divulgação
A QNAP creditou o pesquisador identificado como Coral pelo reporte das vulnerabilidades, segundo a cobertura consultada. A matéria original foi publicada em 05/01/2026 e referencia o aviso público da fabricante datado de 03/01/2026.
Limitações
O texto consultado não menciona exploração ativa em campo nem a existência de exploits públicos que abusem das falhas antes da disponibilização das correções; a fabricante descreve pré-requisito de conta válida para exploração.
Fonte original: Cyber Security News (reportagem publicada em 05/01/2026)