Synology wydaje aktualizację bezpieczeństwa dla serwerów NAS w związku z podatnością Plex2Shell

Firma Synology udostępniła aktualizację rozwiązującą cztery luki bezpieczeństwa w aplikacji Plex Media Server wykorzystywanej na urządzeniach NAS.

Podatności znane jako Plex2Shell mogą pozwolić napastnikowi na zdalne wykonanie złośliwego kodu bez uwierzytelnienia, jeśli zostaną one połączone. Wśród naprawionych błędów znajdują się luki w weryfikacji adresów URL, możliwość zapisu dowolnego pliku oraz problemy z fałszowaniem żądań serwera, czyli SSRF.

Synology opublikowała 8 listopada oficjalny komunikat bezpieczeństwa Synology-SA-26:17 oraz pakiety naprawcze dla różnych wersji systemu DSM. Dla wersji DSM 7.4 i 7.3 wymagana jest wersja Plex Media Server 1.43.5.11079-720011079 lub nowsza, natomiast dla DSM 7.2.2 i 7.2.1 wersja 1.43.5.11079-700011079 lub nowsza.

Problem dotyczy pakietu Plex Media Server, a nie samego systemu operacyjnego DSM, co oznacza, że aktualizacja aplikacji jest konieczna nawet przy aktualnym systemie. Firma QNAP poinformowała 6 listopada o podejrzeniach rzeczywistych naruszeń związanych z Plex2Shell, jednak nie potwierdzono, czy luki te zostały wykorzystane w urządzeniach Synology.