Qnap hat zwei Sicherheitslücken in der NAS-Weboberfläche File Station 5 entdeckt und geschlossen. Angreifer können dadurch Speicherbereiche verändern oder die Geräte mit Denial-of-Service-Attacken lahmlegen.

In einer Sicherheitsmeldung erörtert Qnap, dass eine Sicherheitslücke auf einer NULL-Pointer-Dereference (zum Schmunzeln anregender Tippfehler bei Qnap: Deference, auf Deutsch „Ehrerbietung“) basiert und Angreifer, die Zugriff auf ein Nutzerkonto auf dem Qnap-System erlangen, die Lücke für einen Denial-of-Service missbrauchen können. Schwachstellen dieses Typs führen in der Regel zum Absturz – der Programmcode erwartet einen gültigen Zeiger, der jedoch bereits auf NULL verweist, wodurch er bei erneutem Zugriff in undefinierte Bereiche führt (CVE-2025-29901 / EUVD-2025-25777, CVSS4 7.1, Risiko „hoch„).

Die zweite Schwachstelle hingegen ermöglicht Angreifern, außerhalb vorgesehener Speicherbereiche zu schreiben und damit Speicherbereiche zu stören oder gezielt zu modifizieren. Qnap schreibt es nicht explizit, aber damit lässt sich in der Regel etwa (bösartiger) Programmcode im Speicher ablegen. Jedoch müssen Angreifer zuvor Zugriff auf ein Qnap-Konto erhalten (CVE-2025-47206 / EUVD-2025-25778, CVSS4 7.1, Risiko „hoch„).

Abweichende Risikobewertung

In der Sicherheitsmitteilung stuft Qnap die Lücken als „moderat“ ein, obwohl die Bewertung nach CVSS-Standard ein hohes Risiko darin sieht. Wer den „Datei-Explorer“ File Station 5 oder 5.5 nutzt, sollte dennoch zügig die aktualisierte Firmware installieren. Qnap gibt an, die Fehler in File Station 5 Version 5.5.6.4933 und neueren behoben zu haben. Das Update steht wie üblich bereits etwas länger bereit. Dass es Sicherheitslücken schließt, erklärt der Hersteller erst jetzt.

Ende vergangenen Jahres fielen ebenfalls Sicherheitslücken in Qnaps Netzwerkspeichern auf. Angreifer konnten sie missbrauchen, um eigene Befehle einzuschleusen und Geräte zu kompromittieren.

(dmk)

Ob lustige Sticker im Klassenchat, aufregende Clips auf TikTok oder seltene Skins für Fortnite: Smartphones haben Schüler*innen eine Menge zu bieten, was sie vom Unterricht ablenkt. Deshalb haben die meisten Schulen in Deutschland Regeln, um Kinder und Jugendliche vom Bildschirm zu lösen. Aktuell gibt es eine Debatte, ob die Bundesländer selbst gesetzliche Verbote verhängen sollen.

Bremen hat das jüngst getan, Hessen auch. Bayern wiederum hat sein landesweites Verbot bereits 2022 wieder verworfen. Nun sprechen sich vier Organisationen in einem offenen Brief gegen pauschale Smartphone-Verbote aus: das Deutsche Kinderhilfswerk, der Bundeselternrat, der gemeinnützige Verein D64 sowie die Gesellschaft für Medienpädagogik und Kommunikationskultur.

Nicht über die Köpfe der Schüler*innen hinweg

„Pauschale Verbote entmündigen Kinder und Jugendliche“, sagt Kai Hanke, Geschäftsführer des Deutschen Kinderhilfswerks. Solche Verbote stünden „in krassem Widerspruch zu ihrem in der UN-Kinderrechtskonvention garantierten Recht auf digitale Teilhabe“.

Die Organisationen plädieren deshalb dafür, dass Schüler*innen, Eltern und Lehrkräfte die Regeln gemeinsam vor Ort aushandeln. „Schulische Medienbildung darf nicht über die Köpfe der Schüler*innen hinweg entschieden werden“, heißt es im offenen Brief. In der Diskussion müssten Schüler*innen selbst gehört werden, weil es sie unmittelbar betreffe. „Regeln werden besser akzeptiert und befolgt, wenn sie gemeinsam entwickelt und von allen vorgelebt werden.“

Die Organisationen verweisen hierbei auch auf die Vorbildrolle der Eltern. Wer würde sich schon als erwachsene Person einem pauschalen Smartphone-Verbot beugen wollen? „Von Kindern und Jugendlichen ein medienfreies Verhalten zu erwarten, das Erwachsene selbst nicht konsequent vorleben, ist weder zielführend noch glaubwürdig.“

Schulen haben Bildungsauftrag

Ein weiteres Argument aus dem offenen Brief betrifft Kinder, die außerhalb der Schule keine Gelegenheit haben, Medienkompetenz zu erlernen. „Viele Kinder aus benachteiligten Familien verfügen zu Hause weder über passende Infrastruktur noch über pädagogische Unterstützung.“ Ein Handyverbot an der Schule würde ihnen die Chance zum Lernen nehmen.

Schulen haben bei dem Thema einen Bildungsauftrag, wie aus dem Brief hervorgeht. „Nur wer Informationen einordnen, Algorithmen hinterfragen und eigene Beiträge verantwortungsvoll veröffentlichen kann, ist befähigt zur Teilhabe“, schreiben die Organisationen. Pauschale Verbote würden dem Bildungsauftrag entgegenstehen. Kinder und Jugendliche müssten lernen, mit Ablenkung und digitalem Stress umzugehen.

Leopoldina sieht Mangel an Fachpersonal

Jüngst hat auch die Leopoldina ein Diskussionspapier zu dem Thema vorgelegt. Das ist eine vom Bund und dem Land Sachsen-Anhalt finanzierte Gelehrtengesellschaft, die Politik und Öffentlichkeit berät. Anders als beim offenen Brief von Kinderhilfswerk und Co. geht es in diesem Papier nicht allein um Handy-Nutzung an der Schule, sondern generell um Risiken durch soziale Medien.

Die Forscher*innen der Leopoldina sehen ebenso ein Problem bei der Medienbildung in Deutschland. Demnach mangele es zwar nicht an Absichtserklärungen und Materialien. „Häufig scheitert schlicht die Umsetzung in den Schulen“, schreiben die Forschenden. Die Gründe dafür seien vielfältig. Es fehle unter anderem an Fachpersonal, Zeit und Fortbildungsmöglichkeiten für Lehrkräfte.

Ein Knackpunkt sind also offenbar Geld und Personal. Im Vergleich dazu sind gesetzlich verankerte Verbote billig zu haben, lösen aber nach Einschätzung der Fachleute keine Probleme. In ihrem offenen Brief fordern die vier Organisationen rund um das Kinderhilsfwerk, dass der Staat Geld in die Hand nimmt – für „Infrastruktur, Fortbildung und Kooperationen mit der außerschulischen Medienpädagogik“.

Fast auf den Tag genau zwei Monate nach Bekanntwerden des Sicherheitsfehlers „Citrix Bleed 2“ droht erneut Ungemach für Verwender von Appliances des Typs NetScaler ADC und Gateway. Der Hersteller meldet gleich drei Probleme, eins davon kritisch. Admins sollten prüfen, ob ihre Geräte betroffen sind – Citrix hat dazu Handreichungen veröffentlicht.

Verwundbare Software

Die betroffenen Firmware-Versionen unterscheiden sich dabei nicht, es handelt sich nach Citrix-Angaben jeweils um:

• NetScaler ADC und NetScaler Gateway 14.1 vor Version 14.1-47.48,
• NetScaler ADC und NetScaler Gateway 13.1 vor Version 13.1-59.22,
• NDcPP- und FIPS-zertifizierte Versionen NetScaler ADC „13.1-FIPS and NDcPP“ vor Versionsnummer „13.1-37.241-FIPS and NDcPP“ sowie
• NDcPP- und FIPS-zertifizierte Versionen NetScaler ADC „12.1-FIPS and NDcPP“ vor „12.1-55.330-FIPS and NDcPP“

Alle drei Lücken sind jedoch nicht in den Standardeinstellungen ausnutzbar, sondern unter bestimmten Bedingungen. Beim schwersten der drei Sicherheitsfehler, einem Speicherüberlauf mit anschließender Möglichkeit, Code einzuschleusen (CVE-2025-7775, CVSS4 9.2/10, Schweregrad kritisch), muss eine von vier Vorbedingungen gegeben sein, wie Citrix im Advisory weiter ausführt:

• NetScaler muss als Gateway konfiguriert sein – das dürfte für eine große Mehrzahl der Geräte zutreffen,
• oder die NDcPP-/FIPS-zertifizierte Version muss Loadbalancing-Dienste für HTTP/QUIC in IPv6 anbieten,
• oder NetScaler ist als virtueller CR-Server (Cache Redirection) vom Typ HDX konfiguriert.

Doch auch die zwei weniger kritischen Lücken tragen hohes Schadenspotential in sich. CVE-2025-7776 (CVSS 8.8, Schweregrad hoch) kann das Gerät destabilisieren, setzt aber eine Konfiguration als Gateway mit einem PCoIP-Profil (PC over Internet Protocol) voraus. CVE-2025-8424 (CVSS4 8,7/10, Schweregrad „hoch„) hingegen verschafft Angreifern Zugriff auf geschützte Dateien. Dafür benötigen sie jedoch Zugriff auf das Management-Interface der Appliance, das Citrix-Angaben zufolge meist mit Zugriffslisten (ACLs) oder einer externen Authentisierungslösung geschützt sei.

Updates verfügbar

Admins sollten nun zügig prüfen, ob ihre Geräte betroffen sind. Das gelingt, indem sie die Konfigurationsdatei „ns.conf“ auf die notwendigen Vorbedingungen abklopfen – Citrix verrät in einem Support-Artikel, wie das geht.

Die folgenden Firmware-Versionen sind abgedichtet:

• NetScaler ADC / NetScaler Gateway 14.1-47.48 und später,
• NetScaler ADC / NetScaler Gateway 13.1-59.22 und neuere Versionen des Baums 13.1,
• NetScaler ADC 13.1-FIPS und 13.1-NDcPP 13.1-37.241 und neuere Versionen von 13.1-FIPS und 13.1-NDcPP sowie
• NetScaler ADC 12.1-FIPS und 12.1-NDcPP 12.1-55.330 und neuere Ausgaben der Versionen 12.1-FIPS und 12.1-NDcPP.

Aktive Angriffe – droht Citrix Bleed 3?

Citrix gibt an, dass die kritische Lücke CVE-2025-7775 bereits aktiven Angriffen ausgesetzt sei. Die US-Cybersicherheitsbehörde CISA warnte auch am späten Abend des 26.08. in ihrer „Known Exploited Vulnerabilities“-Liste (KEV) vor Angriffsversuchen.

Es empfiehlt sich also, Updates baldmöglichst einzuspielen – die letzte Citrix-Lücke war unangenehm eskaliert und wird noch immer ausgenutzt. Sie trug den Spitznamen „Citrix Bleed 2“ und die CVE-ID CVE-2025-5777. Die neue kritische Sicherheitslücke dreht diesen Zahlencode nun um, aus 5777 wird 7775 – ein interessanter Zufall.

Wachsamkeit ist allemal geboten, denn derlei Fehler tragen stets das Potenzial der massenhaften Ausnutzung durch Cyberkriminelle wie etwa Ransomware-Banden. Ob ein „Citrix Bleed 3“ droht, bleibt dennoch abzuwarten.

(cku)