Verschillende NAS-systemen van fabrikant QNAP zijn kwetsbaar door het Zerologon-beveiligingslek. Zerologon is de naam voor een kwetsbaarheid in Windows Server waarvoor Microsoft op 11 augustus beveiligingsupdates uitbracht. Via de kwetsbaarheid in het Netlogon-onderdeel van Windows Server kan een aanvaller domeinbeheerdertoegang krijgen.

Om de kwetsbaarheid te kunnen misbruiken moet een aanvaller wel eerst toegang tot een systeem hebben. Daarvandaan is het vervolgens mogelijk om via het lek domeinbeheerder te worden en zo volledige controle over het netwerk te krijgen. Nu meldt QNAP dat bepaalde NAS-systemen ook kwetsbaar zijn.

Remote aanvallers zouden de kwetsbaarheid kunnen misbruiken om via een gecompromitteerd NAS-systeem op het netwerk bepaalde "beveiligingsmaatregelen" te omzeilen. NAS-systemen zijn kwetsbaar voor het Zerologon-lek wanneer gebruikers het apparaat in Control Panel > Network & File Services > Win/Mac/NFS > Microsoft Networking als een domeincontroller hebben ingesteld.

QNAP heeft het probleem verholpen in verschillende versies van QTS, het besturingssysteem dat op de NAS-systemen draait. Het gaat om QTS 4.5.1.1456 build 20201015, QTS 4.4.3.1439 build 20200925, QTS 4.3.6.1446 Build 20200929, QTS 4.3.4.1463 build 20201006, QTS 4.3.3.1432 build 20201006 en nieuwere versies. QTS 2.x en QES zijn niet kwetsbaar. QNAP adviseert NAS-gebruikers om de QTS-versie op hun apparaten up-to-date te houden.