Synology a publi\u00e9 des mises \u00e0 jour de s\u00e9curit\u00e9 pour corriger une faille critique affectant VPN Plus Server qui pourrait \u00eatre exploit\u00e9e pour prendre le contr\u00f4le des syst\u00e8mes affect\u00e9s.<\/p>\n
Suivi comme CVE-2022-43931<\/a>la vuln\u00e9rabilit\u00e9 porte un indice de gravit\u00e9 maximum de 10 sur l’\u00e9chelle CVSS et a \u00e9t\u00e9 d\u00e9crite comme un bogue d’\u00e9criture hors limites dans la fonctionnalit\u00e9 de bureau \u00e0 distance de Synology VPN Plus Server.<\/p>\n L’exploitation r\u00e9ussie du probl\u00e8me “permet \u00e0 des attaquants distants d’ex\u00e9cuter des commandes arbitraires via des vecteurs non sp\u00e9cifi\u00e9s”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 ta\u00efwanaise. m’a dit<\/a>ajoutant qu’il a \u00e9t\u00e9 d\u00e9couvert en interne par son \u00e9quipe de r\u00e9ponse aux incidents de s\u00e9curit\u00e9 des produits (PSIRT).<\/p>\n Les utilisateurs de VPN Plus Server pour Synology Router Manager (SRM) 1.2 et VPN Plus Server pour SRM 1.3 sont invit\u00e9s \u00e0 mettre \u00e0 jour les versions 1.4.3-0534 et 1.4.4-0635, respectivement.<\/p>\n Le fabricant d’appareils de stockage en r\u00e9seau, dans un deuxi\u00e8me avis, a \u00e9galement averti<\/a> de plusieurs failles dans SRM qui pourraient permettre \u00e0 des attaquants distants d’ex\u00e9cuter des commandes arbitraires, de mener des attaques par d\u00e9ni de service ou de lire des fichiers arbitraires.<\/p>\n Les d\u00e9tails exacts sur les vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 retenus, les utilisateurs \u00e9tant invit\u00e9s \u00e0 passer aux versions 1.2.5-8227-6 et 1.3.1-9346-3 pour att\u00e9nuer les menaces potentielles.<\/p>\n Gaurav Baruah, Lukas Kupczyk de CrowdStrike, le chercheur DEVCORE Orange Tsai et la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 informatique bas\u00e9e aux Pays-Bas Computest ont \u00e9t\u00e9 cr\u00e9dit\u00e9s pour avoir signal\u00e9 les faiblesses.<\/p>\n