Faille critique sur Synology DSM : mise à jour urgente pour corriger CVE-2024-10441

Synology a publié un bulletin de sécurité important référencé sous le nom Synology-SA-24:20 (lié aux compétitions Pwn2Own 2024). Cette alerte concerne une vulnérabilité critique affectant le système d’exploitation DiskStation Manager (DSM) ainsi que BeeStation OS. Les administrateurs réseau et les particuliers possédant un NAS de la marque doivent procéder aux mises à jour nécessaires sans délai pour écarter tout risque de compromission.

Les failles de sécurité détaillées dans le bulletin Synology-SA-24:20

L’élément central de cette alerte est la référence CVE-2024-10441, affichant un score CVSS critique de 9.8 sur 10. Cette vulnérabilité provient d’un défaut d’encodage ou d’échappement des sorties au sein du démon du plugin système. Un attaquant distant non authentifié peut exécuter du code arbitraire à distance sur les boîtiers vulnérables, sans nécessiter d’interaction humaine.

Deux autres vulnérabilités secondaires ont également été corrigées par le fabricant :

• CVE-2024-50629 (Score CVSS 5.3) : un problème similaire dans le composant webapi permet à un tiers de lire des fichiers de manière limitée sur le système.
• CVE-2024-10445 (Score CVSS 4.3) : une faille de validation de certificat dans la fonction de mise à jour autorisant des modifications restreintes de fichiers par un attaquant positionné sur le réseau local.

Ces vulnérabilités ont été découvertes et signalées par des chercheurs en sécurité reconnus, notamment Pumpkin Chang et Orange Tsai de l’équipe DEVCORE Research, lors d’exercices de hacking éthique.

Produits concernés et versions correctives à installer

Plusieurs versions de DiskStation Manager et de BeeStation OS sont touchées par ces failles. Synology a déployé des correctifs pour l’ensemble des branches logicielles prises en charge.

Pour sécuriser votre équipement, connectez-vous à l’interface de gestion de votre NAS, rendez-vous dans le Panneau de configuration, puis dans Mise à jour et restauration pour installer les versions suivantes :

• DSM 7.2.2 : Mettre à niveau vers la version 7.2.2-72806-1 ou supérieure.
• DSM 7.2.1 : Mettre à niveau vers la version 7.2.1-69057-6 ou supérieure.
• DSM 7.2 : Mettre à niveau vers la version 7.2-64570-4 ou supérieure.
• DSM 7.1 : Mettre à niveau vers la version 7.1.1-42962-7 ou supérieure.
• DSM 6.2 : Mettre à niveau vers la version 6.2.4-25556-8 ou supérieure.
• BeeStation OS : Mettre à niveau vers la version 1.1-65374 ou supérieure.

Si votre NAS est accessible depuis Internet, l’application immédiate de ces correctifs est indispensable pour bloquer toute tentative d’exploitation automatisée ciblant ces failles.