Sicherheitslücke in Synology DiskStation Manager: Umgehung der Anmeldung über einen anderen Weg

Wie ein Angriff aussieht

Angriff möglich

Über das Netzwerk, auch aus dem Internet

Anmeldung nötig

Nein

Mitwirkung eines Nutzers nötig

Nein

Aufwand für Angreifer

Hoch

Folgen

Vertraulichkeit hoch · Veränderung von Daten hoch · Ausfall hoch

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Was du tun solltest

1. 1Prüfe, ob du Synology DiskStation Manager einsetzt, auch als Teil anderer Produkte, Geräte oder Dienste.
2. 2Spiele die Updates des Herstellers ein oder setze seine Hinweise um. Danach betroffene Dienste neu starten.
3. 3Ist noch kein Update möglich: Zugriff aus dem Internet einschränken oder das System vom Netz nehmen, bis es aktualisiert ist.
4. 4Noch sind keine Angriffe bekannt. Plane das Update trotzdem zeitnah ein: Zwischen Veröffentlichung und ersten Angriffen liegen oft nur wenige Tage.

Originalbeschreibung

An authentication bypass using an alternate path or channel vulnerability in the OTP in Synology DiskStation Manager (DSM) before 7.3.2-86009-5 and 7.4.1-90080-1 allows remote attackers with valid user credentials to read or write arbitrary files and conduct denial-of-service attacks.

Englisch, aus der National Vulnerability Database (NVD)