Synology Seite 2

In der AirPrint-Funktionalität des Synology Router Manager (SRM) vor Version 1.2.5-8227-11 sowie vor 1.3.1-9346-8 fehlt eine Integritätsprüfung beim Herunterladen von Code. Ein Man-in-the-Middle-Angreifer kann dadurch über nicht näher spezifizierte Vektoren beliebigen Code zur Ausführung bringen. CVSS-Basiswert: 7.5 (Hoch).

Eine Schwachstelle durch Umgehung der Authentifizierung mittels Spoofing in der RTSP-Funktionalität erlaubt Man-in-the-Middle-Angreifern, ohne Zustimmung Berechtigungen über unspezifizierte Angriffsvektoren zu erlangen. Betroffen sind laut Hersteller die Modelle BC500 und TC500 mit Synology-Kamera-Firmware-Versionen vor 1.0.7-0298. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: auf Firmware-Version 1.0.7-0298 oder neuer aktualisieren.

In der NTP-Konfiguration der Synology-Kamera-Firmware (Versionen vor 1.0.7-0298 für die Modelle BC500 und TC500) ermöglicht eine unzureichende Neutralisierung von Sonderzeichen in Betriebssystembefehlen (OS Command Injection) entfernten authentifizierten Nutzern mit Administratorrechten die Ausführung beliebiger Befehle über nicht näher spezifizierte Wege. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Update auf Synology Camera Firmware 1.0.7-0298 oder neuer.

In der IP-Block-Funktion der Synology Camera Firmware besteht eine OS-Command-Injection-Schwachstelle. Betroffen sind laut NVD die Modelle BC500 und TC500 mit Firmware-Versionen vor 1.0.7-0298. Ein entfernter, authentifizierter Angreifer mit Administratorrechten kann dadurch beliebige Befehle über nicht näher spezifizierte Vektoren ausführen. CVSS-Basiswert: 7.2 (Hoch).

In der Web-API-Komponente GetLiveViewPath der Synology Surveillance Station besteht eine Schwachstelle durch fehlende Autorisierungsprüfung (Missing Authorization). Betroffen sind Versionen vor 9.2.0-9289 sowie vor 9.2.0-11289. Entfernte, bereits authentifizierte Angreifer können dadurch über unspezifizierte Vektoren an sensible Informationen gelangen. CVSS-Basiswert: 7.7 (Hoch).

In der Webapi-Komponente GetStmUrlPath der Synology Surveillance Station besteht eine fehlende Autorisierungsprüfung. Betroffen sind Versionen vor 9.2.0-9289 und vor 9.2.0-11289. Remote authentifizierte Nutzer können dadurch über unspezifizierte Vektoren an sensible Informationen gelangen. CVSS-Basiswert: 7.7 (Hoch).

Synology Router Manager (SRM) vor Version 1.3.1-9346-6 neutralisiert Sonderzeichen in der Directory-Domain-Funktionalität nicht ausreichend (OS-Command-Injection). Remote authentifizierte Nutzer können dadurch über nicht näher spezifizierte Vektoren beliebige Befehle ausführen. CVSS- Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Update auf Version 1.3.1-9346-6 oder neuer.

Für Synology-Produkte wurde eine Sicherheitslücke (CVE-2014-0195) gemeldet, die in mehreren DSM-Versionen adressiert wurde (DSM 4.0-2264, DSM 4.2-3250, DSM 4.3-3827 Update 4, DSM 5.0-4493 Update 1). Ausnutzungswahrscheinlichkeit (EPSS): 100.0 %.

In ABB Arctic ARG600/ARC600/ARR600/ARP600 Wireless Gateway und OpenSSH wurde eine Sicherheitslücke (CVE-2024-6387, regreSSHion) gemeldet. Laut ABB PSIRT sind 4 Produkt(e) betroffen, 0 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 99.5 %.

Für den Linux-Kernel wurde eine Sicherheitslücke (CVE-2019-11477) gemeldet, die mehrere überwachte Produkte betrifft; Synology, CommScope (Ruckus) und Securepoint führen entsprechende Advisories. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 98.7 %.

Für Synology-Produkte wurde eine Sicherheitslücke in Apache Tomcat gemeldet (Synology-SA-19:17). Betroffen sind Synology, Apache Tomcat und Microsoft Windows. Ausnutzungswahrscheinlichkeit (EPSS): 98.5 %.

Für Synology DiskStation Manager (DSM) wurde eine Sicherheitslücke gemeldet, die DSM 4.2 und 4.3 betrifft. Ausnutzungswahrscheinlichkeit (EPSS): 97.5 %.

Für Synology-Produkte wurde eine Sicherheitslücke in Joomla gemeldet (CVE-2016-8869). Betroffen sind Synology und Joomla. Ausnutzungswahrscheinlichkeit (EPSS): 97.1 %.

Für Synology-Produkte wurde eine Sicherheitslücke (CVE-2014-0224) gemeldet, die in mehreren DSM-Versionen adressiert wurde (DSM 4.0-2264, DSM 4.2-3250, DSM 4.3-3827 Update 4, DSM 5.0-4493 Update 1). Betroffen sind laut den Quelldaten zudem Rockwell Automation, Synacor / Zimbra, Axis sowie LibreOffice. Ausnutzungswahrscheinlichkeit (EPSS): 95.3 %.

In Synology-Produkten wurde die als OptionsBleed bekannte Sicherheitslücke (CVE-2017-9798) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 95.0 %.

Für die GNU C Library (glibc) wurde die als „GHOST“ bekannte Sicherheitslücke (CVE-2015-0235) gemeldet; betroffen sind mehrere überwachte Produkte, darunter Synology und Zimbra. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 94.9 %.

Systeme mit Mikroprozessoren, die spekulative Ausführung und Sprungvorhersage nutzen, ermöglichen einem lokalen Angreifer unbefugten Informationsabfluss über eine Seitenkanalanalyse (Spectre Variante 1). Betroffen sind unter anderem Produkte von Honeywell, Synology, Xen Project, Axis und OpenVPN Inc. CVSS-Basiswert: 5.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 93.8 %.

Für mehrere Produkte wurde eine Sicherheitslücke im Linux-Kernel gemeldet (Synology-SA-19:28); laut den Quellen sind Synology, CommScope (Ruckus) und Securepoint betroffen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 92.9 %.

Eine weitere OpenSSL-Schwachstelle (Synology-SA-22:21) betrifft laut Quellenlage Produkte von Asustor, Synology, AMD, SolarWinds, Axis, Matrix42 AG, OpenVPN Inc., CommScope, OpenSSL, Fedora und Node.js. Ausnutzungswahrscheinlichkeit (EPSS): 92.5 %.

Für den Linux-Kernel wurde eine Sicherheitslücke (CVE-2019-11479) gemeldet; Synology führt sie im Advisory Synology-SA-19:28 (Linux kernel), weitere Hersteller in eigenen Sicherheitshinweisen. Ausnutzungswahrscheinlichkeit (EPSS): 91.7 %.

Für Synology-Produkte wurde im Rahmen des Dnsmasq-Advisories (Synology-SA-17:59) eine Sicherheitslücke (CVE-2017-14492) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 91.4 %.

Eine OpenSSL-Schwachstelle (Synology-SA-22:21) betrifft laut Quellenlage Produkte von Asustor, Synology, AMD, SolarWinds, Axis, Matrix42, OpenVPN und CommScope. Ausnutzungswahrscheinlichkeit (EPSS): 90.8 %.

Für Synology-Produkte wurde eine Sicherheitslücke gemeldet, die in DSM 5.2-5644 Update 5 behoben wurde. Ausnutzungswahrscheinlichkeit (EPSS): 89.1 %.

Für OpenSSL wurde eine Sicherheitslücke (CVE-2016-2107) gemeldet; Synology weist in einem Hinweis auf die betroffenen OpenSSL-Schwachstellen (CVE-2016-2107 und CVE-2016-2108) hin, zahlreiche weitere Hersteller führen eigene Advisories. Ausnutzungswahrscheinlichkeit (EPSS): 89.1 %.

Für Synology-Produkte wurde eine Sicherheitslücke (CVE-2014-0221) gemeldet, die in mehreren DSM-Versionen adressiert wurde (DSM 4.0-2264, DSM 4.2-3250, DSM 4.3-3827 Update 4, DSM 5.0-4493 Update 1). Die zugrunde liegende OpenSSL-Schwachstelle betrifft laut Quellenlage auch Produkte weiterer Hersteller. Ausnutzungswahrscheinlichkeit (EPSS): 87.9 %.

Synology informiert über die Sicherheitslücke CVE-2015-0240, die Synology-Produkte betrifft. Ausnutzungswahrscheinlichkeit (EPSS): 87.6 %.

Für Memcached wurde eine Sicherheitslücke (CVE-2018-1000115) gemeldet; Synology sowie mehrere Linux-Distributionen führen entsprechende Advisories. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 87.3 %.

Für Synology-Produkte wurde eine Sicherheitslücke im Zusammenhang mit DNSpooq gemeldet (Synology-SA-21:01). Ausnutzungswahrscheinlichkeit (EPSS): 86.7 %.

Für Synology-Produkte wurde eine Sicherheitslücke im Zusammenhang mit DNSpooq gemeldet (Synology-SA-21:01, CVE-2020-25683). Ausnutzungswahrscheinlichkeit (EPSS): 86.0 %.

In XZ Utils wurde eine Backdoor entdeckt, die mehrere Produkte von Asustor, GE HealthCare, Synology, TeamViewer, Axis und LANCOM Systems betrifft. Ausnutzungswahrscheinlichkeit (EPSS): 86.0 %.

Für Synology-Produkte wurde eine Sicherheitslücke (CVE-2014-3470) gemeldet, die in mehreren DSM-Versionen adressiert wurde (DSM 4.0-2264, DSM 4.2-3250, DSM 4.3-3827 Update 4, DSM 5.0-4493 Update 1). Ausnutzungswahrscheinlichkeit (EPSS): 85.8 %.

Für Dnsmasq wurde eine Sicherheitslücke (CVE-2017-14491) gemeldet, die zahlreiche überwachte Produkte betrifft; Synology und mehrere Linux-Distributionen führen entsprechende Advisories. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 84.9 %.

Für Synology DiskStation Manager (DSM) wurde eine Sicherheitslücke gemeldet, die DSM 4.0 und 4.3 betrifft. Ausnutzungswahrscheinlichkeit (EPSS): 84.6 %.

Für Synology-Produkte wurde eine Sicherheitslücke in Joomla gemeldet (CVE-2016-8870). Ausnutzungswahrscheinlichkeit (EPSS): 83.0 %.

Prozessoren mit spekulativer Ausführung und indirekter Sprungvorhersage können einem lokalen Angreifer die unbefugte Offenlegung von Informationen über einen Seitenkanal ermöglichen (bekannt als „Meltdown“). Synology hat die zugehörigen Angriffsvektoren unter dem Namen Meltdown und Spectre Attacks dokumentiert. CVSS-Basiswert: 5.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 82.6 %.

Für die HTTP/2-Implementierung wurde eine Denial-of-Service-Schwachstelle (CVE-2019-9513) gemeldet; nginx und Synology (Synology-SA-19:33, HTTP/2 DoS Attacks) sowie weitere Hersteller führen entsprechende Sicherheitshinweise. Ausnutzungswahrscheinlichkeit (EPSS): 81.6 %.

Für Synology-Produkte wurde im Rahmen des Dnsmasq-Advisories (Synology-SA-17:59) eine Sicherheitslücke (CVE-2017-14495) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 81.4 %.

Für Synology-Produkte wurde eine Sicherheitslücke im Zusammenhang mit DNSpooq gemeldet (Synology-SA-21:01). Ausnutzungswahrscheinlichkeit (EPSS): 81.2 %.

Für GNU Wget wurde eine Sicherheitslücke (CVE-2017-13089) gemeldet; Synology sowie Debian führen entsprechende Advisories. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 79.9 %.

Synology informiert über eine OpenSSL-Schwachstelle (CVE-2016-2108), die Synology-Produkte betrifft; auch Securepoint UTM ist betroffen. Ausnutzungswahrscheinlichkeit (EPSS): 79.1 %.

Für Synology-Produkte wurde im Rahmen des Dnsmasq-Advisories (Synology-SA-17:59) eine Sicherheitslücke (CVE-2017-14493) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 78.9 %.

In Synology DSM wurde eine Sicherheitslücke (CVE-2017-9554) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 78.3 %.

Für den Git-Server wurde eine Sicherheitslücke (CVE-2017-1000117) gemeldet; Synology führt sie im Advisory Synology-SA-17:41 (Git Server). Ausnutzungswahrscheinlichkeit (EPSS): 75.8 %.

Die als Meltdown und Spectre bekannten Seitenkanalangriffe betreffen Prozessoren verschiedener Hersteller und ermöglichen das Auslesen von Speicherinhalten aus privilegierten Bereichen. Ausnutzungswahrscheinlichkeit (EPSS): 74.0 %.

Für Produkte von Asustor und Veritas wurde eine Sicherheitslücke (CVE-2021-44142) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 73.9 %.

Für Synology-Produkte wurde eine Sicherheitslücke im Linux-Kernel behoben (Synology-SA-18:41); betroffen sind zudem Securepoint UTM sowie zahlreiche weitere Hersteller. Ausnutzungswahrscheinlichkeit (EPSS): 73.7 %.

Für Synology-Produkte wurde eine Sicherheitslücke (CVE-2015-3183) gemeldet, adressiert in DSM 5.2-5592 Update 4. Ausnutzungswahrscheinlichkeit (EPSS): 73.3 %.

Für Synology-Produkte wurde im Rahmen des DSM-Updates 5.2-5592 eine Sicherheitslücke behoben, die auf einer Schwachstelle in OpenSSL beruht. Ausnutzungswahrscheinlichkeit (EPSS): 71.6 %.

Eine Schwachstelle in OpenSSL ermöglicht das Fälschen alternativer Zertifikatsketten. Synology hat Informationen zur betroffenen Schwachstelle und entsprechenden Massnahmen veröffentlicht. Ausnutzungswahrscheinlichkeit (EPSS): 71.2 %.

Für Synology-Produkte wurde im Rahmen des Dnsmasq-Advisories (Synology-SA-17:59) eine Sicherheitslücke (CVE-2017-14494) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 71.0 %.