QNAP en Synology waarschuwen voor OpenSSL-lekken in NAS-systemen waardoor aanvallers een denial of service kunnen veroorzaken of willekeurige code op de apparaten kunnen uitvoeren. OpenSSL behoort tot de meest gebruikte software voor het versleutelen van internetverbindingen. Websites maken er bijvoorbeeld gebruik van om het verkeer van en naar bezoekers te versleutelen. Vorige week kwam het OpenSSL-team met een beveiligingsupdate die twee kwetsbaarheden verhielp.

De software van QNAP en Synology maakt ook gebruik van OpenSSL en is daardoor ook kwetsbaar. In het geval van Synology gaat het om Synology DiskStation Manager (DSM) 6.2 en 7.0, SkyNAS, VS960HD, Synology Router Manager (SRM) 1.2, VPN Plus Server en VPN Server. De NAS-fabrikant zegt aan beveiligingsupdates te werken, maar wanneer die precies verschijnen is nog onbekend.

QNAP stelt dat één van de OpenSSL-kwetsbaarheden een denial of service mogelijk maakt en een remote aanvaller de inhoud van het geheugen laat uitlezen. Dit beveiligingslek is aanwezig in NAS-systemen die QTS, QuTS hero en QuTScloud draaien. Het andere OpenSSL-lek bevindt zich in NAS-systemen die HBS 3 (Hybrid Backup Sync) draaien. Deze kwetsbaarheid maakt het mogelijk voor een aanvaller om op afstand code op het systeem uit te voeren. Ook QNAP zegt aan patches te werken, maar wanneer gebruikers die kunnen downloaden is nog onduidelijk.