Synology hat eine Sicherheitslücke im Router-Betriebssystem Synology Router Manager (SRM) behoben die während des Pwn2Own-Wettbewerbs 2021 entdeckt wurde. Anwender von Synology-Routern sollten überprüfen, ob die aktualisierte Firmware bereits installiert und aktiviert ist.
Die Schwachstelle ermöglicht es Angreifern in einer Man-in-the-middle-Position (MitM), beliebigen Code auszuführen oder unberechtigten Zugriff auf Intranet-Ressourcen zu erlangen. Laut Synology handelt es sich um eine "wichtige" Sicherheitslücke. Bisher wurde der Schwachstelle keine CVE-Nummer zugewiesen und es liegt keine CVSS-Bewertung des Risikos vor.
Leider gibt es keine Details darüber, ebenso wie ein potenzieller Angriff aussehen könnte oder wo ebendies der Fehler liegt. Das CERT-Bund des BSI hat die Schwachstelle jedoch als "kritisch" mit einem CVSS-Wert von 9.8 eingestuft. Der Unterschied in der Bewertung könnte darauf zurückzuführen sein. Dass BSI die Schwachstelle als potenziell von "entfernten, anonymen Angreifern" ausnutzbar beschreibt, während Synology die Lokalität in Form der MitM-Position als Einschränkung betrachtet.
Verwundbar sind alle Firmware-Versionen vor SRM 1.3.1-9346-8 oder SRM 1.2.5-8227-11. Synology hat keine vorübergehenden Gegenmaßnahmen genannt, allerdings empfiehlt ausschließlich die Aktualisierung der Firmware um den Fehler zu beheben.
Bereits Anfang dieser Woche hat Synology eine andere kritische Firmware-Schwachstelle bei Überwachungskameras behoben. Bei den Modellen BC500 & TC500 konnten Sicherheitsforscher beim Pwn2Own-Wettbewerb die Lücken ausnutzen um Sicherheitsmaßnahmen zu umgehen und Schadcode einzuschleusen.
Kommentare