Multiples vulnérabilités dans Synology

Date de publication :

CVE-2022-27624[Score CVSS v3.1: 10]

Une vulnérabilité du type débordement de la mémoire tampon dans la fonction de déchiffrement du Out-of-Band (OOB) Management permet à un attaquant, en envoyant des requêtes spécifiquement forgées, d’exécuter du code arbitraire sur le système.

CVE-2022-27625[Score CVSS v3.1:10]

Une vulnérabilité du type débordement de la mémoire tampon dans la fonction de gestion de messages du Out-of-Band (OOB) Management permet à un attaquant, en envoyant des requêtes spécifiquement forgées, d’exécuter du code arbitraire sur le système.

CVE-2022-27626[Score CVSS v3.1:10]

Une vulnérabilité liée à une exécution concurrente (race condition) dans le composant « Session Handler » du Out-of-Band (OOB) Management permet à un attaquant, d’exécuter du code arbitraire sur le système.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Exécution de code arbitraire

Criticité

    Score CVSS v3.1: 10

La faille est activement exploitée

    Non, pour l’ensemble des CVE présentées.

Un correctif existe

    Oui, pour l’ensemble des CVE présentées.

Une mesure de contournement existe

    Non, pour l’ensemble des CVE présentées.

La vulnérabilité exploitée est du type

CWE-120: Buffer Copy without Checking Size of Input ('Classic Buffer Overflow')

CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer

CWE-362: Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition')

Détails sur l’exploitation

Pour l’ensemble des CVE présentées

    Vecteur d’attaque : Réseau.

    Complexité de l’attaque : Faible.

    Privilèges nécessaires pour réaliser l’attaque : Non.

    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.

    L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Composants vulnérables

Pour l’ensemble des CVE présentées

    Synology DS3622xs+ versions inférieures à 7.1.1-42962-2

    Synology FS3410 versions inférieures à 7.1.1-42962-2

    Synology HD6500 versions inférieures à 7.1.1-42962-2

Solutions ou recommandations

Pour l’ensemble des CVE présentées

  • Mettre à jour Synology DS3622xs+ vers la version 7.1.1-42962-2 ou une version supérieure
  • Mettre à jour Synology FS3410 vers la version 7.1.1-42962-2 ou une version supérieure
  • Mettre à jour Synology HD6500 vers la version 7.1.1-42962-2 ou une version supérieure
  • Plus d’informations disponibles ici.

Liens