Synology, el fabricante taiwanés de dispositivos de almacenamiento conectado a la red (NAS), ha abordado una falla de seguridad crítica que afecta a DiskStation y BeePhotos y que podría conducir a la ejecución remota de código.
Seguimiento como CVE-2024-10443 y denominado RIESGO: ESTACIÓN Según Midnight Blue, el investigador de seguridad Rick de Jager demostró la falla de día cero en el concurso de piratería Pwn2Own Ireland 2024.
RISK:STATION es una “vulnerabilidad de clic cero no autenticada que permite a los atacantes obtener la ejecución de código de nivel raíz en los populares dispositivos Synology DiskStation y BeeStation NAS, lo que afecta a millones de dispositivos”, dijo la empresa holandesa. dicho.
La naturaleza de la vulnerabilidad sin hacer clic significa que no requiere ninguna interacción del usuario para desencadenar la explotación, lo que permite a los atacantes obtener acceso a los dispositivos para robar datos confidenciales y colocar malware adicional.
La falla afecta a las siguientes versiones:
Actualmente se han retenido detalles técnicos adicionales sobre la vulnerabilidad para dar a los clientes tiempo suficiente para aplicar los parches. Midnight Blue dijo que hay entre uno y dos millones de dispositivos Synology que actualmente están afectados y expuestos a Internet simultáneamente.
QNAP parchea 3 errores críticos
La divulgación se produce cuando QNAP resolvió tres fallas críticas que afectaban a QuRouter, SMB Service y HBS 3 Hybrid Backup Sync, todas las cuales fueron explotadas durante Pwn2Own:
- CVE-2024-50389 – Corregido en QuRouter 2.4.5.032 y posteriores
- CVE-2024-50387 – Corregido en SMB Service 4.15.002 y SMB Service h4.15.002 y posteriores
- CVE-2024-50388 – Corregido en HBS 3 Hybrid Backup Sync 25.1.1.673 y posteriores
Si bien no hay evidencia de que alguna de las vulnerabilidades antes mencionadas haya sido explotada en la naturaleza, se recomienda a los usuarios que apliquen los parches lo antes posible, dado que los dispositivos NAS han sido objetivos de alto valor para ataques de ransomware en el pasado.
About the Author
