Ngày 04 tháng 1 năm 2023Ravie LakshmananVPN / Bảo mật máy chủ
Synology đã phát hành các bản cập nhật bảo mật để giải quyết một lỗ hổng nghiêm trọng ảnh hưởng đến Máy chủ VPN Plus có thể bị khai thác để chiếm lấy các hệ thống bị ảnh hưởng.
Được đánh dấu là CVE-2022-43931, lỗ hổng này có xếp hạng mức độ nghiêm trọng tối đa là 10 trên thang CVSS và đã được mô tả là lỗi ghi ngoài giới hạn trong chức năng máy tính từ xa trong Synology VPN Plus Server.
Khai thác thành công vấn đề “cho phép kẻ tấn công từ xa thực thi các lệnh tùy ý thông qua các vectơ không xác định”, công ty Đài Loan cho biết thêm rằng nó đã được phát hiện nội bộ bởi Nhóm ứng phó sự cố bảo mật sản phẩm (PSIRT) của họ.
Người dùng VPN Plus Server cho Synology Router Manager (SRM) 1.2 và VPN Plus Server cho SRM 1.3 nên cập nhật lên phiên bản 1.4.3-0534 và 1.4.4-0635 tương ứng.
Nhà sản xuất thiết bị lưu trữ gắn mạng, trong lời khuyên thứ hai, cũng cảnh báo về một số lỗ hổng trong SRM có thể cho phép kẻ tấn công từ xa thực thi các lệnh tùy ý, tiến hành tấn công từ chối dịch vụ hoặc đọc các tệp tùy ý.
Chi tiết chính xác về các lỗ hổng bảo mật đã được giữ lại, người dùng được khuyến khích nâng cấp lên các phiên bản 1.2.5-8227-6 và 1.3.1-9346-3 để giảm thiểu các mối đe dọa tiềm ẩn.
Gaurav Baruah, Lukas Kupczyk của CrowdStrike, nhà nghiên cứu Orange Tsai của DEVCORE và công ty bảo mật CNTT có trụ sở tại Hà Lan, Computest đã được ghi nhận vì đã báo cáo các điểm yếu.
Điều đáng chú ý là một số lỗ hổng bảo mật đã được chứng minh tại cuộc thi Pwn2Own 2022 được tổ chức từ ngày 6 đến ngày 9 tháng 12 năm 2022 tại Toronto.
Baruah kiếm được 20.000 đô la cho một cuộc tấn công tiêm lệnh vào giao diện WAN của Synology RT6600ax, trong khi Computest kiếm được 5.000 đô la cho một cuộc khai thác root shell tiêm lệnh nhắm vào giao diện LAN của nó.
