Synology: Διορθώνει σημαντική ευπάθεια σε VPN router

Μια ευπάθεια μέγιστης σοβαρότητας (10/10) που επηρεάζει routers ρυθμισμένα να λειτουργούν ως VPN servers έχει διορθωθεί από την Synology, κατασκευαστή NAS (Network-attached storage), με έδρα το Ταϊβάν.

Η ευπάθεια, η οποία ονομάστηκε CVE-2022-43931, ανακαλύφθηκε από την Ομάδα Αντιμετώπισης Περιστατικών Ασφάλειας Προϊόντων (PSIRT) της Synology στο λογισμικό του VPN Plus Server και έλαβε τη μέγιστη βαθμολογία (10) από την εταιρεία.

Δείτε επίσης: iOS 16: Μπορείτε να κάνετε restart το iPhone σας μέσω Siri

Το VPN Plus Server είναι ένας εικονικός server ιδιωτικού δικτύου. Επιτρέπει στους admins να ρυθμίζουν τα Synology router ως VPN servers για να επιτρέπουν την απομακρυσμένη πρόσβαση σε πόρους “πίσω” από το router.

Επιθέσεις χαμηλής πολυπλοκότητας μπορούν να εκμεταλλευτούν το ελάττωμα χωρίς να απαιτείται αλληλεπίδραση του χρήστη ή πρόσβαση στα router-στόχους.
Μέσω μιας ευάλωτης έκδοσης του Synology VPN Plus Server, οι απομακρυσμένοι επιτιθέμενοι μπορεί να είναι σε θέση να εκτελέσουν οποιαδήποτε εντολή, σύμφωνα με μια συμβουλευτική ασφαλείας που κυκλοφόρησε την Παρασκευή από τη Synology.

Η ευπάθεια εγγραφής εκτός ορίων (out-of-bound) στο synoagentregisterd του Synology DiskStation Manager (DSM) πριν από την έκδοση 6.2.3-25426-3 επιτρέπει στους επιτιθέμενους να εκτελέσουν αυθαίρετο κώδικα μέσω της επικεφαλίδας syno_finder_site HTTP.
Οι ευπάθειες εγγραφής out-of-bound μπορούν να οδηγήσουν σε σοβαρές επιπτώσεις, όπως αλλοίωση δεδομένων, κατάρρευση του συστήματος και εκτέλεση κώδικα μετά από αλλοίωση μνήμης.

Η Synology έχει κυκλοφορήσει ενημερώσεις ασφαλείας για την επιδιόρθωση του σφάλματος και συμβουλεύει τους πελάτες να αναβαθμίσουν τον VPN Plus Server με τη τελευταία διαθέσιμη έκδοση του SRM (Synology Router Manager).

Πολλοί ερευνητές, αλλά και ομάδες, παίρνουν τα credits για τις αναφορές των διορθωμένων σφαλμάτων, με τουλάχιστον δύο από αυτούς να έχουν επιδείξει με επιτυχία zero-day ευπάθειες με στόχο το Synology RT6600ax router κατά τη διάρκεια της πρώτης ημέρας του διαγωνισμού hacking Pwn2Own στο Toronto που έγινε το 2022.

Ο Gaurav Baruah κέρδισε 20.000 δολάρια για την εκτέλεση μιας command injection επίθεσης κατά του WAN Interface του Synology RT6600ax.

Πηγή πληροφοριών: bleepingcomputer.com