Esta otra vulnerabilidad que os reporto debería estar también parcheada si tenéis las versiones actualizadas de vuestros equipos NAS Synology, concretamente el problema afecta a versiones de DSM 4.x, por lo que hay estar actualizado como mínimo a:
- DSM 4.0-2259
- DSM 4.2-3243
- DSM 4.3-3810
La vulnerabilidad ha sido catalogada como CVE: 2013-6955 siendo del tipo SLICEUPLOAD Remote Command Execution, afectando concretamente a otro CGI del DSM de Synology, concretamente /webman/imageSelector.cgi, y consiste en el poder ejecutar código arbitrario con derechos de root usando la función SLICEUPLOAD:
The vulnerability is located in /webman/imageSelector.cgi, which allows to append arbitrary data to a given file using a so called SLICEUPLOAD functionality, which can be triggered by an unauthenticated user with a specially crafted HTTP request.This is exploited by this module to append the given commands to /redirect.cgi, which is a regular shell script file, and can be invoked with another HTTP request.
Tras este aviso recalcar la importancia de actualizar especialmente si tienes un equipo Synology funcionando con DSM 4.1.
.png "English"){kind=small}
0 comentarios:
Publicar un comentario