DSM: Synology schließt kritische Lücken in NAS und Routern

Synology hat zwei kritische Sicherheitslücken in seinen eigenen NAS-Systemen und Routern geschlossen, die im Betriebssystem DiskStation Manager 6 und in der Safe Access-Zugriffskontrolle seiner eigenen Router stecken geblieben sind. Updates sind für beide Softwareversionen verfügbar.

Synology hat den Schweregrad beider Sicherheitsanfälligkeiten als kritisch eingestuft. Im Sicherheitshinweis Synology-SA-20: 26 DSM Synology beschreibt nur, dass Angreifer aufgrund der Sicherheitsanfälligkeit über mehrere Sicherheitsanfälligkeiten beliebigen Code auf anfälligen Versionen von DiskStation Manager ausführen konnten. Dies deutet darauf hin, dass Angreifer das NAS auch vollständig übernehmen, Daten ändern und verschlüsseln konnten.

Das Update für NAS ist ab heute verfügbar

Für NAS-Systeme mit DSM 6.2 ist jetzt ein Update verfügbar, das die Lücken schließt. Benutzer von Synology NAS sollten daher so bald wie möglich auf Version 6.2.3-25426-3 oder höher aktualisieren, um das System zu schützen. Wenn noch kein automatisches Update verfügbar ist, wird das Aktualisieren Sie Dateien, die direkt von Synology heruntergeladen wurden und manuell importiert – das Update fehlt derzeit für einzelne NAS. Synology nennt auch die Software DSM UC 3.0, SkyNAS und VS960HD als betroffen, für die es jedoch noch kein Update gibt. DMS UC ist das Betriebssystem für die Unified Controller-Serie von Synology. Die VisualStation VS960HD hingegen ist ein Begleitsystem für Synology NAS mit Funktionen für die Surveillance Station.

Zugriffskontrolle in betroffenen Routern

Synology Router, deren Betriebssystem als Synology Router Manager (SRM) bezeichnet wird, wirken sich nicht direkt auf die Zugriffssteuerung aus, sondern auf die Zugriffssteuerung mit Safe Access, mit der die Kindersicherung mit Zeitplänen und Kontingenten sowie Webfiltern für das lokale Netzwerk festgelegt werden kann. Im Sicherheitshinweis Synology-SA-20: 25 Sicherer Zugriff Es werden jedoch keine detaillierteren Informationen zur Art der Sicherheitslücke beschrieben. Es heißt lediglich, dass Angreifer beliebigen Code ausführen konnten. Benutzer sollten Safe Access so bald wie möglich auf Version 1.2.3-0234 oder neuer aktualisieren.