CVE-2018-19949 취약점 확인 및 조치방법

QNAP NAS File Station Command Injection Vulnerability

영향 여부를 확인한 뒤 우선 대응, 정식 해결, 결과 확인, 필요 시 침해 흔적 점검까지 이어서 볼 수 있습니다.읽기 전용 확인 명령은 적극 제공하지만, 공식 수정 버전·정확한 설치 방식·대상 패키지·검증 절차가 확인되지 않은 변경 명령은 표시하지 않습니다.

조치 요약

QNAP Network Attached Storage (NAS) 취약점 대응

조치가이드 확인 중

CVE ID: CVE-2018-19949
영향 버전: QNAP Network Attached Storage (NAS) · 영향 버전: QNAP Network Attached Storage (NAS) unspecified, < 4.2.6, >= 4.3.1.0013 < 4.3.3.1161, >= 4.3.4 < 4.3.4.1190, >= 4.3.6 < 4.3.6.1218, >= 4.4.0 < 4.4.1.1201, >= 4.4.2 < 4.4.2.1231, 4.2.6
위험 요약: 실제 악용 가능 노출면을 먼저 줄이고 공급사 지침에 따라 패치·완화·사용중단 중 하나를 완료합니다. 핵심 유형은 명령어·코드 인젝션이며, 외부 입력이 운영체제 명령이나 코드로 실행돼 시스템 장악으로 이어질 수 있습니다.
공식 수정 버전: 4.2.6, 4.3.3.1161, 4.3.4.1190, 4.3.6.1218, 4.4.1.1201, 4.4.2.1231

QNAP · 입력값 검증·인젝션 · 공급사·공식기관 근거 확인 · 2026. 07. 17. 04:40 확인

영향 여부 확인

확인 필요제품 설치 여부와 현재 버전을 확인할 명령 또는 화면 경로 확인 필요

조치 전 확인

확인 필요백업 가능 여부와 서비스 중단·재부팅 영향을 확인한 뒤 작업 승인 필요

즉시 완화

확인 필요공식 보안권고의 Workaround 또는 Mitigation 확인 필요

정식 조치

QTS/QuTS hero/DSM 또는 영향 패키지 공식 업데이트

공식 근거

적용 명령

# 1) 공식 보안 권고와 Download Center에서 모델별 fixed version 확인
# 2) 스토리지 풀/RAID 정상, Snapshot/Backup, UPS, 재부팅 가능 시간, 패키지 호환성 확인

# QNAP Live Update:
Control Panel > System > Firmware Update > Live Update > Check for Update
# QNAP 수동 업데이트:
Support > Download Center에서 모델별 firmware 다운로드 후 Firmware Update에서 수동 적용

# Synology DSM Update:
Control Panel > Update & Restore > DSM Update > Download/Update
# Synology 수동 업데이트:
Synology Download Center에서 모델별 DSM update file 다운로드 후 Manual DSM Update 적용

# 영향 앱/패키지는 App Center 또는 Package Center에서 별도로 업데이트

예상 결과: 정상 예시: NAS OS 또는 영향 패키지가 fixed version 기준을 충족합니다. 재부팅·서비스·로그를 검증합니다. / 중단 예시: 모델·공간·스토리지 상태가 정상 아닙니다. 업데이트를 계속하지 않습니다.
판정·성공 기준: NAS OS 또는 영향 패키지가 fixed version 기준을 충족합니다. 재부팅·서비스·로그를 검증합니다. 모델·공간·스토리지 상태가 정상 아닙니다. 업데이트를 계속하지 않습니다.

결과 확인

확인 필요적용 후 버전·서비스·기능을 확인할 검증 절차 확인 필요

침해 여부 점검

확인 필요외부 노출 이력이 있으면 로그 보존 및 침해 흔적 점검 절차 확인 필요

롤백

주의이전 취약 버전으로 복구하면 취약점이 다시 노출될 수 있습니다.

확인 필요공급사 공식 롤백 절차와 복구 기준 확인 필요

근거 및 출처 · 데이터 한계공식 근거 분류, 공격 경로, 내부 프로필 판단과 참고자료 보기

대응 수준최우선긴급 변경 검토

권고 완료 시점CISA 요구기한 2022.06.14 이전 완료CISA 공식 기한 반영

공식 조치 근거2개KISA·KEV·공급사 보안 권고

구조화 데이터2개영향 범위·수정 버전·CVSS

공격 경로네트워크권한 불필요 · 사용자행위 불필요

가이드 상태조치가이드 확인 중자동 생성·수정·갱신 여부를 반영

기술정보 더보기

명령어·코드 인젝션

공식 CWE 기반 · 대상 제품 유형: 네트워크·보안 어플라이언스

제품 유형: 네트워크·보안 어플라이언스
분류 근거: CWE-77, CWE-78, command injection
CWE: CWE-20, CWE-77, CWE-78

데이터 한계

실제 적용 전 최종 확인

이 가이드는 공개된 CVE·KEV·EPSS·KISA 정보와 일반 취약점 운영 절차를 구조화한 것으로, 실제 자산 영향 여부를 자동 확정하지 않습니다.
제품별 변경 명령, 레지스트리, 설정값은 공급사 공식 문서에서 확인된 경우에만 적용해야 합니다.
EPSS는 악용 확률 예측값이며 자산 중요도·외부 노출·보완통제·업무 영향도를 대체하지 않습니다.

실제 패키지·서비스·경로가 확정되지 않은 명령 2건은 공개하지 않았습니다.