Una vulnerabilità di esecuzione di codice remoto (RCE) recentemente identificata nei dispositivi NAS (Network-Attached Storage) di Synology ha messo a rischio milioni di utenti, consentendo agli aggressori di accedere da remoto a questi sistemi senza alcuna interazione da parte degli utenti.
Classificata come vulnerabilità “zero-click”, questa falla consente agli aggressori di sfruttare i dispositivi Synology senza richiedere all’utente di aprire file o cliccare sui link. Il problema ha origine da due applicazioni: Synology Photos (Synology-SA-24:19) e BeePhotos (Synology-SA-24:18), entrambe preinstallate e abilitate di default sulla linea consumer di dispositivi di archiviazione di rete Bee di Synology. L’app Photos è anche un download popolare tra gli utenti dei sistemi DiskStation.
L’azienda olandese di sicurezza informatica Midnight Blue ha scoperto la vulnerabilità durante l’annuale concorso di hacking Pwn2Own organizzato dalla Zero Day Initiative e stima che milioni di utenti Synology potrebbero essere a rischio a causa di questa falla RCE, situata in una parte delle app Foto e BeePhotos che non richiede autenticazione.
Con questo livello di accesso, gli aggressori potrebbero rubare dati sensibili, installare ransomware per bloccare l’accesso degli utenti o persino installare backdoor per uno sfruttamento a lungo termine. I ricercatori di Midnight Blue hanno scoperto che la vulnerabilità potrebbe essere sfruttata sia che un dispositivo Synology NAS sia direttamente connesso a Internet sia che vi si acceda da remoto tramite il servizio QuickConnect dell’azienda, su cui molti utenti fanno affidamento per un comodo accesso remoto.
Nella loro analisi, il team di Midnight Blue ha scansionato i dispositivi NAS connessi a Internet e ha identificato centinaia di migliaia di sistemi Synology vulnerabili, stimando che milioni di dispositivi in totale potrebbero essere interessati. La loro scansione ha rivelato sistemi potenzialmente vulnerabili utilizzati da agenzie di forze dell’ordine, studi legali e appaltatori in settori critici, come la manutenzione della rete elettrica, i prodotti farmaceutici e le operazioni di trasporto merci.
Sebbene Synology abbia rilasciato una patch di sicurezza per risolvere la vulnerabilità classificata come “critica”, gli utenti devono scaricare e installare manualmente l’aggiornamento, poiché i dispositivi NAS dell’azienda non si aggiornano automaticamente. Carlo Meijer, uno dei ricercatori di Midnight Blue, ha affermato:
Non è banale trovare [la vulnerabilità] da soli, in modo indipendente. Ma è piuttosto facile capire e collegare i puntini quando la patch viene effettivamente rilasciata, e si esegue il reverse engineering della patch.
Le implicazioni di questa vulnerabilità sono particolarmente preoccupanti, poiché sono già stati segnalati attacchi ransomware che hanno preso di mira i dispositivi Synology. All’inizio di quest’anno, gli utenti del sistema DiskStation sono stati specificamente presi di mira in un incidente ransomware , evidenziando i rischi reali associati a questa falla. Si consiglia vivamente agli utenti Synology di installare gli ultimi aggiornamenti di sicurezza il prima possibile e di prendere in considerazione misure di sicurezza aggiuntive, come la limitazione dell’accesso remoto tramite QuickConnect e la configurazione di gateway di autenticazione.
Inoltre, il concorso ha visto falle sfruttate anche in altri sistemi NAS. Di conseguenza, QNAP ha rilasciato un avviso riguardante CVE-2024-50388 , una vulnerabilità critica di iniezione di comandi del sistema operativo nella sua soluzione HBS 3 Hybrid Backup Sync, che può essere sfruttata per l’esecuzione di comandi remoti. Allo stesso modo, TrueNAS ha anche pubblicato un avviso e ha iniziato a lavorare su patch per le vulnerabilità dimostrate durante il concorso, avvisando gli utenti che queste falle sono state mostrate su installazioni predefinite non indurite.
Questa falla critica sottolinea l’importanza di frequenti aggiornamenti di sicurezza per i dispositivi NAS per ridurre il rischio di violazioni dei dati, ransomware e accesso non autorizzato a dati preziosi archiviati su sistemi connessi a Internet.
Via: Wired (paywall)
