Synology dicht kwetsbaarheden in NAS-software
NAS-fabrikant Synology heeft verschillende beveiligingsupdates uitgebracht voor kwetsbaarheden in producten van het bedrijf. Een beveiligingslek in de Synology Cloud Station sync-client voor Mac OS X zorgde ervoor dat een lokale gebruiker met verminderde rechten rootrechten op het systeem kon krijgen.
Het probleem werd veroorzaakt door het bestand "client_chown" van de sync-client waarmee gebruikers de eigenaar van bestanden konden aanpassen. Standaard wordt het bestand met het setuid "root" geïnstalleerd. Hierdoor kan een gebruiker eigenaarschap van willekeurige systeembestanden veranderen en zo rootrechten krijgen. Synology heeft versie 3.2-3475 uitgebracht om het probleem op te lossen. Als oplossing is het bsetand client_chown nu verwijderd, zo laat het CERT Coordination Center (CERT/CC) van de Carnegie Mellon Universiteit weten.
DiskStation Manager en Photo Station
Tevens zijn er ook updates voor Synology DiskStation Manager en Synology Photo Station verschenen. Het Nederlandse Securify had een cross-site scriptingprobleem in DiskStation Manager ontdekt waardoor een aanvaller sessietokens en inloggegevens zou kunnen stelen. In het geval van Photo Station ging het om een command injectionprobleem waardoor een aanvaller willekeurige commando's met de rechten van de webserver kon uitvoeren. Hiermee zou het mogelijk zijn om een DiskStation NAS en alle data daarop te compromitteren.
Photo Station en Cloud Station zijn optionele packages en staan los van DSM, dezen werk je bij via het Package Center.
De precieze nieuwswaarde van dit bericht is mij ook niet helemaal duidelijk; de DSM update is er al een tijdje (en was toen geen nieuwsbericht waard blijkbaar) en van de andere problemen heb je alleen last als je ook die packages gebruikt... kleine doelgroep lijkt mij.
Deze melding loopt een beetje achter omdat versie 3.2-3475 al langer uit is. 26 mei is deze versie juist ge-update naar versie 3.2-3479
Deze melding loopt een beetje achter omdat versie 3.2-3475 al langer uit is. 26 mei is deze versie juist ge-update naar versie 3.2-3479
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
