VietNetwork.Vn

Nhà sản xuất thiết bị lưu trữ mạng (NAS) Đài Loan Synology đã giải quyết một lỗ hổng bảo mật nghiêm trọng ảnh hưởng đến DiskStation và BeePhotos có thể dẫn đến thực thi mã từ xa.

Được theo dõi với mã là CVE-2024-10443 và được Midnight Blue đặt tên là RISK:STATION, lỗ hổng zero-day này đã được nhà nghiên cứu bảo mật Rick de Jager trình diễn tại cuộc thi hack Pwn2Own Ireland 2024.


RISK:STATION là "lỗ hổng zero-click chưa xác thực cho phép kẻ tấn công có được quyền thực thi mã cấp gốc trên các thiết bị NAS Synology DiskStation và BeeStation phổ biến, ảnh hưởng đến hàng triệu thiết bị", công ty Hà Lan cho biết.

Bản chất không cần nhấp chuột của lỗ hổng này có nghĩa là nó không yêu cầu bất kỳ tương tác nào của người dùng để kích hoạt khai thác, do đó cho phép kẻ tấn công truy cập vào thiết bị để đánh cắp dữ liệu nhạy cảm và cài thêm phần mềm độc hại.

Lỗi này ảnh hưởng đến các phiên bản sau:

• BeePhotos cho BeeStation OS 1.0 (Nâng cấp lên 1.0.2-10026 hoặc cao hơn)
• BeePhotos cho BeeStation OS 1.1 (Nâng cấp lên 1.1.0-10053 hoặc cao hơn)
• Synology Photos 1.6 cho DSM 7.2 (Nâng cấp lên 1.6.2-0720 trở lên)
• Synology Photos 1.7 cho DSM 7.2 (Nâng cấp lên 1.7.0-0795 trở lên)

Các chi tiết kỹ thuật bổ sung về lỗ hổng bảo mật hiện đang được giữ kín để khách hàng có đủ thời gian áp dụng các bản vá. Midnight Blue cho biết hiện có từ một đến hai triệu thiết bị Synology đang bị ảnh hưởng và tiếp xúc với internet cùng một lúc.

QNAP vá 3 lỗi nghiêm trọng. Việc tiết lộ này được đưa ra khi QNAP giải quyết ba lỗ hổng nghiêm trọng ảnh hưởng đến QuRouter, SMB Service và HBS 3 Hybrid Backup Sync, tất cả đều bị khai thác trong Pwn2Own -

• CVE-2024-50389 - Đã sửa trong QuRouter 2.4.5.032 trở lên
• CVE-2024-50387 - Đã sửa trong SMB Service 4.15.002 và SMB Service h4.15.002 trở lên
• CVE-2024-50388 - Đã sửa trong HBS 3 Hybrid Backup Sync 25.1.1.673 trở lên

Mặc dù không có bằng chứng nào cho thấy bất kỳ lỗ hổng nào được đề cập ở trên đã bị khai thác ngoài thực tế, người dùng được khuyên nên áp dụng các bản vá càng sớm càng tốt vì các thiết bị NAS từng là mục tiêu có giá trị cao cho các cuộc tấn công bằng phần mềm tống tiền trong quá khứ.