نقاط الضعف الحرجة RCE أصدرت Synology تحديثات أمنية لمعالجة عيب خطير يؤثر على خادم VPN Plus والذي يمكن استغلاله للسيطرة على الأنظمة المتأثرة.
تم تتبع الثغرة
الأمنية باعتبارها CVE-2022-43931 ، وهي تحمل تصنيف خطورة أقصى يبلغ 10 على مقياس
CVSS وقد وُصفت بأنها خطأ كتابة خارج الحدود في وظيفة سطح المكتب البعيد في
Synology VPN Plus Server.
وقالت الشركة التايوانية إن الاستغلال الناجح لهذه
المشكلة "يسمح للمهاجمين عن بُعد بتنفيذ أوامر تعسفية عبر ناقلات غير محددة" ،
مضيفة أن فريق الاستجابة لحوادث أمان المنتج (PSIRT) اكتشفها داخليًا.
يُنصح
مستخدمي VPN Plus Server for Synology Router Manager (SRM) 1.2 و VPN Plus Server
لـ SRM 1.3 بالتحديث إلى الإصدارين 1.4.3-0534 و 1.4.4-0635 ، على التوالي.
حذر
صانع أجهزة التخزين المتصلة بالشبكة ، في استشارة ثانية ، أيضًا من العديد من
العيوب في SRM التي قد تسمح للمهاجمين عن بُعد بتنفيذ أوامر تعسفية ، أو تنفيذ
هجمات رفض الخدمة ، أو قراءة الملفات التعسفية.
تم حجب التفاصيل الدقيقة حول
الثغرات الأمنية ، مع حث المستخدمين على الترقية إلى الإصدارات 1.2.5-8227-6 و
1.3.1-9346-3 للتخفيف من التهديدات المحتملة.
يُنسب الفضل إلى Gaurav Baruah ، و
Lukas Kupczyk من CrowdStrike ، وباحث DEVCORE Orange Tsai ، وشركة أمن تكنولوجيا
المعلومات ومقرها هولندا ، كمبيوتست للإبلاغ عن نقاط الضعف. تجدر الإشارة إلى أنه
تم عرض بعض نقاط الضعف في مسابقة Pwn2Own لعام 2022 التي عقدت بين 6 و 9 ديسمبر
2022 في تورنتو.
حصل Baruah على 20000 دولار مقابل هجوم بحقن الأوامر ضد واجهة WAN
الخاصة بـ Synology RT6600ax ، بينما حصل Computest على 5000 دولار مقابل استغلال
shell root بحقن الأوامر الذي يستهدف واجهة LAN الخاصة به.
وجدت هذه المقالة مثيرة
للاهتمام؟
تعليقات
إرسال تعليق