CVE-2022-27625

RCE w Out-of-Band Management Synology DSM — przepełnienie bufora

CVSS 10.0v3.1pub. 2022-10-20upd. 2025-01-14

Krytyczna podatność w funkcji przetwarzania wiadomości modułu Out-of-Band (OOB) Management w Synology DiskStation Manager (DSM) umożliwia zdalnym atakującym wykonanie dowolnych poleceń bez uwierzytelnienia. Podatność otrzymała maksymalny wynik CVSS 10.0, co czyni ją ekstremalnie niebezpieczną.

▸ Pokaż oryginał (EN)

A vulnerability regarding improper restriction of operations within the bounds of a memory buffer is found in the message processing functionality of Out-of-Band (OOB) Management. This allows remote attackers to execute arbitrary commands via unspecified vectors. The following models with Synology DiskStation Manager (DSM) versions before 7.1.1-42962-2 may be affected: DS3622xs+, FS3410, and HD6500.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowego ograniczenia operacji w obrębie bufora pamięci (CWE-119 — improper restriction of operations within the bounds of a memory buffer) w funkcji przetwarzania wiadomości modułu OOB Management. Atakujący może wysłać specjalnie spreparowane żądania sieciowe, które powodują przepełnienie bufora i prowadzą do wykonania dowolnego kodu. Atak nie wymaga uwierzytelnienia ani interakcji ze strony użytkownika i może być przeprowadzony zdalnie przez sieć.

Skutki

Atakujący może uzyskać pełną kontrolę nad urządzeniem poprzez zdalne wykonanie dowolnych poleceń (RCE), co może skutkować przejęciem danych, instalacją backdoorów lub całkowitym naruszeniem integralności i dostępności systemu.

Mitygacja

Należy jak najszybciej zaktualizować Synology DiskStation Manager (DSM) do wersji 7.1.1-42962-2 lub nowszej. Szczegóły dostępne w poradniku producenta: https://www.synology.com/security/advisory/Synology_SA_22_17

Kogo dotyczy

Urządzenia Synology DS3622xs+, FS3410 oraz HD6500 z zainstalowanym systemem Synology DiskStation Manager (DSM) w wersjach wcześniejszych niż 7.1.1-42962-2.