CVE-2017-11153

Deserialization umożliwia zdalne uzyskanie uprawnień administratora w Synology Photo Station

CVSS 9.8v3.0pub. 2017-08-08upd. 2026-05-13

Podatność deserialization w pliku synophoto_csPhotoMisc.php aplikacji Synology Photo Station pozwala nieuwierzytelnionemu atakującemu zdalnie uzyskać uprawnienia administratora. Oceniona jako KRYTYCZNA (CVSS 9.8), stanowi poważne zagrożenie dla urządzeń Synology udostępnionych w sieci.

▸ Pokaż oryginał (EN)

Deserialization vulnerability in synophoto_csPhotoMisc.php in Synology Photo Station before 6.7.3-3432 and 6.3-2967 allows remote attackers to gain administrator privileges via a crafted serialized payload.

🤖 Analiza AI

Jak działa

Aplikacja Synology Photo Station nieprawidłowo deserializuje dane dostarczane przez użytkownika w pliku synophoto_csPhotoMisc.php. Atakujący może przesłać specjalnie spreparowany payload serializowany, który podczas deserializacji jest wykonywany w kontekście aplikacji. Nie jest wymagane żadne uwierzytelnienie ani interakcja użytkownika, co czyni atak w pełni zdalnym i niezwykle prostym do przeprowadzenia.

Skutki

Atakujący może uzyskać pełne uprawnienia administratora w aplikacji Synology Photo Station, co w praktyce oznacza całkowite przejęcie kontroli nad aplikacją oraz potencjalnie nad urządzeniem NAS.

Mitygacja

Należy zaktualizować Synology Photo Station do wersji 6.7.3-3432 lub nowszej (dla gałęzi 6.7) oraz do wersji 6.3-2967 lub nowszej (dla gałęzi 6.3). Szczegóły patcha dostępne są w biuletynie bezpieczeństwa Synology SA-17:34 pod adresem wskazanym w referencjach producenta.

Kogo dotyczy

Synology Photo Station w wersjach wcześniejszych niż 6.7.3-3432 oraz wcześniejszych niż 6.3-2967

Uwagi

Publiczny exploit dla tej podatności jest dostępny w serwisie Exploit-DB (ID: 42434), co znacząco obniża próg wejścia dla potencjalnych atakujących i uzasadnia pilne zastosowanie patcha.