CVE-2022-22683

Classic Buffer Overflow w Synology Media Server umożliwiający RCE

CVSS 10.0v3.1pub. 2022-07-28upd. 2025-01-14

Krytyczna podatność typu buffer overflow w komponencie CGI systemu Synology Media Server pozwala zdalnym, nieuwierzytelnionym atakującym na wykonanie dowolnego kodu. Uzyskała maksymalny wynik CVSS 10.0, co czyni ją ekstremalnie niebezpieczną.

▸ Pokaż oryginał (EN)

Buffer copy without checking size of input ('Classic Buffer Overflow') vulnerability in cgi component in Synology Media Server before 1.8.1-2876 allows remote attackers to execute arbitrary code via unspecified vectors.

🤖 Analiza AI

Jak działa

Podatność wynika z braku weryfikacji rozmiaru danych wejściowych podczas kopiowania bufora (CWE-120 — Classic Buffer Overflow) w komponencie CGI aplikacji Synology Media Server. Atakujący może wysłać specjalnie spreparowane dane sieciowe, które przepełniają bufor w pamięci, umożliwiając nadpisanie krytycznych obszarów pamięci procesu. Atak jest możliwy zdalnie, bez uwierzytelnienia i bez interakcji użytkownika.

Skutki

Skuteczne wykorzystanie podatności pozwala atakującemu na zdalne wykonanie dowolnego kodu (RCE) na podatnym urządzeniu z uprawnieniami procesu serwera, co może prowadzić do pełnego przejęcia kontroli nad systemem, naruszenia poufności danych, integralności oraz dostępności usług.

Mitygacja

Należy niezwłocznie zaktualizować Synology Media Server do wersji 1.8.1-2876 lub nowszej. Szczegółowe informacje i patche dostępne są w oficjalnym biuletynie bezpieczeństwa Synology: https://www.synology.com/security/advisory/Synology_SA_20_24