نشرت شركة Synology تحذيراً أمنياً رئيسياً مسجلاً تحت المرجع Synology-SA-24:20 (والمرتبط بمسابقات Pwn2Own 2024). يتعلق هذا الإنذار بثغرة حرجة تؤثر على نظام التشغيل DiskStation Manager (DSM) إلى جانب نظام BeeStation OS. يجب على مسؤولي الشبكات والأفراد الذين يمتلكون خوادم تخزين (NAS) من نفس العلامة التجارية الشروع في التحديثات اللازمة دون تأخير لدرء أي خطر اختراق.
يكمن العنصر الأساسي في هذا التحذير في المرجع CVE-2024-10441، والذي يحصل على درجة خطورة قصوى تبلغ 9.8 من أصل 10 على مقياس CVSS. تنتج هذه الثغرة عن سوء معالجة أو ترميز المخرجات داخل برنامج المكون الإضافي للنظام. ويمكن لمهاجم بعيد غير مصرح له تنفيذ تعليمات برمجية عشوائية على الأجهزة المصابة دون الحاجة لأي تفاعل بشري.
تم رصد ثغرتين أخريين ثانويتين وتم تصحيحهما من قبل الشركة المصنعة:
- CVE-2024-50629 (درجة خطورة 5.3) : مشكلة مشابهة في مكون واجهة برمجة التطبيقات (webapi) تتيح لطرف ثالث قراءة ملفات محدودة على النظام.
- CVE-2024-10445 (درجة خطورة 4.3) : ثغرة في التحقق من صحة الشهادات ضمن وظيفة التحديث، مما يسمح بتعديلات مقيدة للملفات من طرف مهاجم متواجد على الشبكة المحلية.
تم اكتشاف هذه الثغرات والإبلاغ عنها بواسطة باحثين أمنيين بارزين، من ضمنهم Pumpkin Chang و Orange Tsai من فريق أبحاث DEVCORE.
.){kind=link}