Synology, fabricant taïwanais d’appareils de stockage en réseau (NAS) a corrigé une faille de sécurité critique affectant DiskStation et BeePhotos qui pourrait conduire à l’exécution de code à distance.

Identifiée comme CVE-2024-10443 et baptisée RISK:STATION par Midnight Blue, la faille zero-day a été démontrée lors du concours de piratage Pwn2Own Ireland 2024 par le chercheur en sécurité Rick de Jager.

RISK:STATION est une « vulnérabilité zero-click non authentifiée permettant aux attaquants d’obtenir l’exécution de code au niveau racine sur les périphériques NAS Synology DiskStation et BeeStation populaires, affectant des millions d’appareils », a déclaré la société néerlandaise .

La nature zéro clic de la vulnérabilité signifie qu’elle ne nécessite aucune interaction de l’utilisateur pour déclencher l’exploitation, permettant ainsi aux attaquants d’accéder aux appareils pour voler des données sensibles et implanter des logiciels malveillants supplémentaires.

La faille affecte les versions suivantes –

• BeePhotos pour BeeStation OS 1.0 (mise à niveau vers 1.0.2-10026 ou supérieur)
• BeePhotos pour BeeStation OS 1.1 (mise à niveau vers 1.1.0-10053 ou supérieur)
• Photos Synology 1.6 pour DSM 7.2 (mise à niveau vers la version 1.6.2-0720 ou supérieure)
• Photos Synology 1.7 pour DSM 7.2 (mise à niveau vers la version 1.7.0-0795 ou supérieure)

Les détails techniques supplémentaires sur la vulnérabilité n’ont pas été divulgués pour donner aux clients suffisamment de temps pour appliquer les correctifs. Midnight Blue a déclaré qu’entre un et deux millions d’appareils Synology sont actuellement simultanément affectés et exposés à Internet.

QNAP corrige 3 bugs critiques#

Cette révélation intervient alors que QNAP a résolu trois failles critiques affectant QuRouter, SMB Service et HBS 3 Hybrid Backup Sync, qui ont toutes été exploitées lors de Pwn2Own –

• CVE-2024-50389 – Corrigé dans QuRouter 2.4.5.032 et versions ultérieures
• CVE-2024-50387 – Corrigé dans SMB Service 4.15.002 et SMB Service h4.15.002, et versions ultérieures
• CVE-2024-50388 – Corrigé dans HBS 3 Hybrid Backup Sync 25.1.1.673 et versions ultérieures

Bien qu’il n’y ait aucune preuve que l’une des vulnérabilités susmentionnées ait été exploitée dans la nature, il est conseillé aux utilisateurs d’appliquer les correctifs dès que possible étant donné que les périphériques NAS ont été des cibles de grande valeur pour les attaques de ransomware dans le passé.