Η εταιρεία Network-attached storage (NAS) Synology διόρθωσε διάφορα προβλήματα στο λογισμικό των συσκευών της, ένα απ’ τα bugs που διορθώθηκαν θα μπορούσε να επιτρέψει σε επιτιθέμενους την πρόσβαση στα αποθηκευμένα δεδομένα.
Η πιο σοβαρή ευπάθεια εντοπίστηκε στο Photo Station, ένα feature του DiskStation Manager (DSM), του βασισμένο στα Linux, λειτουργικού συστήματος τρέχει στις NAS συσκευές της εταιρείας.
Το Photo Station της Synology, επιτρέπει στους χρήστε να δημιουργούν online φωτογραφικά άλμπουμ και blogs, στα οποία οι χρήστες μπορούν ν΄αποκτήσουν πρόσβαση απομακρυσμένα, χρησιμοποιώντας την δημόσιο IP address της NAS συσκευής.
Οι ερευνητές της ολλανδικής εταιρείας Securify, εντόπισαν πως το Photo Station δεν αποστειρώνει σωστά το input του χρήστη, επιτρέποντας έτσι σε πιθανούς hackers να εισάγουν εντολές συστήματος οι οποίες θα εκτελεστούν με δικαιώματα του Web server.
Επιπλέον, το Photo Station, δεν έχει προστασία για το cross-site request forgery (CSRF), μια τεχνική που επιτρέπει σε ένα website να αναγκάσει τον browser ενός χρήστη να εκτελέσει κακόβουλες ενέργειες σε κάποιο άλλο site.
Έτσι ακόμα και αν το Photo Station δεν είναι ρυθμισμένο ώστε να είναι προσβάσιμο από το web, ένας εισβολέας θα μπορούσε να παραπλανήσει έναν χρήστη που βρίσκεται στο ίδιο network με την συσκευή NAS και να τον κατευθύνει να επισκεφθεί μια ειδικά κατασκευασμένη ιστοσελίδα η οποία θα χρησιμοποιεί την τεχνική του CSRF και να αξιοποιήσει την ευπάθεια εισάγοντας την εντολή μέσω του LAN.
Αξιοποιώντας αυτή την τρύπα, οι εισβολείς μπορούν να χτυπήσουν την συσκευή NAS, συμπεριλαμβανομένων και όλων των δεδομένων που βρίσκονται σ’ αυτήν, όπως ανέφεραν οι ερευνητές σε έκθεσή τους, στην οποία συμπεριλαμβάνεται και το proof of concept exploit.
Η εταιρεία διόρθωσε την τρύπα στην ασφάλεια την περασμένη εβδομάδα στην εκδοση 6.3-2945 του Photo Station. Ωστόσο, στις σημειώσεις την έκδοσης αναφέρεται μόνο η έκφραση “βελτιώσεις ασφαλείας” χωρίς περαιτέρω λεπτομέρειες.
Η νέα έκδοση αντιμετωπίζει δύο ακόμη ευπάθειες cross-site scripting (XSS), που εντοπίστηκαν από τους ερευνητές ασφάλειας.
Αυτές οι τρύπες, μπορούν να αξιοποιηθούν, ξεγελώντας τους χρήστες του προγράμματος, ώστε να ανοίξουν μια ειδικά κατασκευασμένη URL, που θα εκτελέσει κακόβουλο κώδικα στους browser τους. Οι επιτυχημένες επιθέσεις θα επιτρέψουν στους εισβολείς να κλέψουν τα session token ή τα διαπιστευτήρια του log-in των στοχευμένων χρηστών, καθώς και να εκτελέσουν αυθαίρετες ενέργειες εξ ονόματος τους.
Παρόμοια ευπάθεια διορθώθηκε ως επίσης την προηγούμενη εβδομάδα στο interface διαχειρισης του DiskStation Manage. Οι χρήστες παροτρύνονται ενημερώσουν στην νέα έκδοση 5.2-5565 Update 1.
Οι συσκευές της Synology NAS έχουν βρεθεί στο στόχαστρο των hacker στο παρελθόν. Μόλις πέρυσι, επιτιθέμενοι έκαναν exploit σε ευπάθεια που επηρέασε πολλές τέτοιες συσκευές με ένα πρόγραμμα file-encrypting ransomware και παλαιότερα hackers χτύπησαν τις συσκευές της εταιρείας εκτελώντας σ’ αυτές μίνι προγράμματα cryptocurrency.
