Synology 严重漏洞可致攻击者远程执行任意代码

Synology 的DiskStation Manager（简称 DSM）存在一个严重漏洞，远程攻击者无需用户交互即可执行任意代码。

这个在 2024 年 PWN2OWN 大会期间披露的漏洞被评定为严重级别，通用漏洞评分系统（CVSS）评分为 9.8，这表明它极有可能被广泛利用。

该主要漏洞编号为 CVE-2024-10441，源于系统插件守护进程中输出的编码或转义不当。

Synology 的严重漏洞

这一严重漏洞影响多种Synology 产品，包括指定修补版本之前的 DSM 版本、BeeStation Manager（简称 BSM）以及Synology Unified Controller（简称 DSMUC）。

此漏洞是今年在Synology 产品中发现的最严重的安全问题之一。CVSS 评分为 9.8 且无需用户身份验证，攻击者有可能完全控制存在漏洞的系统。

该技术漏洞的特征描述为 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H，这意味着可通过网络访问、攻击复杂度低、无需权限、无需用户交互，并且可能对保密性、完整性和可用性造成严重影响。

风险因素详情

受影响产品：

Synology BeeStation Manager（BSM），版本低于 1.1-65374

Synology DiskStation Manager（DSM），版本低于 6.2.4-25556-8

DSM，版本低于 7.1.1-42962-7

DSM，版本低于 7.2-64570-4

DSM，版本低于 7.2.1-69057-6

DSM，版本低于 7.2.2-72806-1

Synology Unified Controller（DSMUC），版本低于 3.1.4-23079

影响：执行任意代码

利用前提：能够访问目标网络

CVSS 3.1 评分：9.8，严重

中度严重问题

CVE-2024-50629：网络应用程序接口（web API）组件存在漏洞，CVSS 评分为 5.3，攻击者可通过未指明的途径读取有限的文件。

CVE-2024-10445：更新功能中存在证书验证不当的漏洞，CVSS 评分为 4.3，邻近的攻击者可借此写入有限的文件。

这些漏洞是由知名安全研究人员发现的，其中包括来自 DEVCORE 研究团队的 Pumpkin Chang（@u1f383）和 Orange Tsai（@orange_8361），以及 Ryan Emmons（@the_emmons）和 Smoking Barrels 团队。

受影响产品及修复措施

Synology 已针对所有受影响的产品发布了补丁。强烈建议用户更新到以下版本：

1.DSM 7.2.2：升级到 7.2.2-72806-1 或更高版本

2.DSM 7.2.1：升级到 7.2.1-69057-6 或更高版本

3.DSM 7.2：升级到 7.2-64570-4 或更高版本

4.DSM 7.1：升级到 7.1.1-42962-7 或更高版本

5.DSM 6.2：升级到 6.2.4-25556-8 或更高版本

6.DSMUC 3.1：升级到 3.1.4-23079 或更高版本

值得注意的是，除了应用更新之外，没有其他缓解措施，这凸显了立即打补丁的重要性。

“在广泛部署的存储系统中存在如此严重的漏洞这一事实，应提醒各机构在产品开发过程中始终将安全放在首位。”

鉴于 CVE-2024-10441 的严重性和可远程利用性，使用Synology 网络附加存储（NAS）设备的机构和个人应将此更新视为紧急补丁。

暴露且未打补丁的系统可能会因自动扫描和攻击尝试而遭到入侵。

Synology 最初于 2024 年 11 月 5 日发布了这一安全公告，并在随后的更新中为各产品线发布了补丁。

最近一次更新是在 2025 年 3 月 19 日，在给用户留出足够的时间来更新系统之后，披露了完整的漏洞细节。