Synology publie DSM 7.2.2 Update 1 pour corriger 4 failles de sécurité !
Synology a publié une nouvelle version de son système d'exploitation : DSM 7.2.2 Update 1, dans l'objectif de corriger quatre failles de sécurité dévoilées lors de la compétition de hacking Pwn2Own 2024 Ireland. Faisons le point.
Lors de l'événement Pwn2Own 2024 qui s'est déroulé en Ireland du 22 au 25 octobre 2024, les équipes de « hackers » sont parvenues à découvrir des vulnérabilités dans les produits de plusieurs éditeurs et marques, dont Synology.
La nouvelle version de DSM, à savoir DSM 7.2.2 Update 1, est directement liée aux vulnérabilités découvertes lors de cet événement. Il s'agit d'une mise à jour de sécurité qui corrige 4 vulnérabilités différentes. Dans son bulletin de sécurité, Synology a associé une sévérité critique à cette nouvelle mise à jour.
Les références CVE ne sont pas indiquées, sûrement parce qu'elles ne sont pas encore attribuées, mais voici ce que l'on sait sur ces vulnérabilités :
- ZDI-CAN-25403 : permet à des attaquants distants d'exécuter un code arbitraire.
- ZDI-CAN-25487 : permet à un attaquant de type man-in-the-middle d'obtenir des sessions d'administration.
- ZDI-CAN-25613 : permet à des attaquants distants de lire des fichiers spécifiques.
- ZDI-CAN-25617 : permet à un attaquant adjacent de type man-in-the-middle d'écrire des fichiers spécifiques.
Sur le papier, ces failles de sécurité semblent effectivement dangereuses. L'une d'elles fait certainement référence à la faille de sécurité découverte par Ryan Emmons et Stephen Fewer de l'équipe Rapid7, permettant d'obtenir les privilèges "root" sur un NAS Synology.
Comment protéger son NAS Synology ?
Vous l'aurez compris, pour vous protéger de ces vulnérabilités, vous devez mettre à jour votre NAS vers DSM 7.2.2 Update 1 (estampillée "7.2.2-72806") . Mais, qu'en est-il des autres versions de DSM ?
Synology prévoit de publier des mises à jour pour DSM 7.2.1, DSM 7.1 et DSMUC 3.1 dans les 30 prochains jours. Surveillez donc les mises à jour sur votre NAS.
Pour rappel, à l'occasion du Pwn2Own 2024, les participants ont également découvert une faille de sécurité critique dans l'application Synology Photos disponible sur DSM, ainsi que sur l'équivalent pour BeeStation. Très rapidement, Synology a publié une mise à jour de l'application pour vous permettre de protéger votre NAS et vos données. À ce sujet, voici notre article :
