Synology : des failles dans OpenSSL affectent DSM 7.0 et DSM 6.2
Synology, leader mondial sur le marché du NAS, a révélé que certains de ses produits étaient vulnérables à plusieurs failles situées dans OpenSSL. En exploitant ces failles, un attaquant peut réaliser une exécution de code à distance ou un déni de service.
Des failles dans OpenSSL affectent DSM, mais pas seulement !
Voici ce que précise Synology sur son site : "Plusieurs vulnérabilités permettent aux attaquants à distance d'effectuer un déni de service ou une exécution de code à distance sur certaines versions de DSM (système pour NAS), SRM (système pour les routeurs), VPN Plus Server ou VPN Server".
Au niveau des NAS, il faut savoir que la dernière version du système est concernée, à savoir DSM 7.0, mais aussi DSM 6.2 qui est encore très utilisé. Ces deux failles de sécurité dans OpenSSL sont associées à deux références CVE : CVE-2021-3711 avec un score CVSS3 de 8,1 et CVE-2021-3712 avec un score CVSS3 de 5,3.
L'équipe de développement d'OpenSSL a corrigé ces failles le 24 août dernier au sein de la version OpenSSL 1.1.1l. Reste à implémenter ce correctif au sein de DSM et des différents produits concernés, ce que Synology devrait faire sous 90 jours. Le composant OpenSSL étant très largement utilisé, il y a de fortes chances pour que Synology ne soit pas le seul fabricant concerné.
Synology travaille sur la correction d'autres vulnérabilités
Quelques jours plus tôt, Synology a publié un autre bulletin de sécurité au sujet de failles non connues publiquement, mais avec un niveau de sévérité élevé. Elles permettent à un pirate d'exécuter des commandes à distance, mais aussi de créer des fichiers.
Pour DSM 6.2, le correctif est déjà disponible au sein de la version 6.2.4-25556-2, tandis qu'il n'est pas encore disponible pour DSM 7.0.
Si vous avez un NAS Synology, gardez un œil sur les mises à jour dans les semaines à venir. D'autant plus que dernièrement le botnet StealthWorker s'est montré particulièrement actif pour tenter d'infecter des NAS Synology avec des attaques de type brute-force.
