CVE-2024-10441

اسم البرنامج المصاب والإصدارات المتأثرة Synology BeeStation Manager (BSM) الإصدارات السابقة لـ 1.1-65374 Synology DiskStation Manager (DSM) الإصدارات السابقة لـ 6.2.4-25556-8 Synology DiskStation Manager (DSM) الإصدارات السابقة لـ 7.1.1-42962-7 Synology DiskStation Manager (DSM) الإصدارات السابقة لـ 7.2-64570-4 Synology DiskStation Manager (DSM) الإصدارات السابقة لـ 7.2.1-69057-6 Synology DiskStation Manager (DSM) الإصدارات السابقة لـ 7.2.2-72806-1 Synology Unified Controller (DSMUC) الإصدارات السابقة لـ 3.1.4-23079

Description توجد ثغرة تتعلق بترميز أو هروب غير صحيح للمخرجات في برنامج تشغيل المكونات الإضافية للنظام (system plugin daemon). تسمح هذه الثغرة للمهاجمين عن بُعد وغير المصرح لهم بتنفيذ تعليمات برمجية عشوائية عبر ناقلات غير محددة. تشير التحليلات الفنية إلى أن البيانات التي يتحكم فيها المستخدم يمكن أن تؤثر على البيئة الممررة إلى عمليات المكونات الإضافية ذات الامتيازات، مما يسمح بتنفيذ الأوامر. في حوادث واقعية، تم استغلال ذلك لنشر برمجية الفدية C3RB3R، التي تقوم بتشفير الملفات بامتداد .L0CK3D وتترك ملاحظات فدية باسم read-me3.txt. يتضمن الاستغلال إرسال طلب مصمم خصيصاً إلى نقطة النهاية /webapi/entry.cgi باستخدام المعلمة account لحقن متغيرات البيئة مثل LD PRELOAD و LD DEBUG OUTPUT لتفعيل تنفيذ نص برمجي (shell script) عن بُعد.

Recommendations تحديث Synology BeeStation Manager (BSM) إلى الإصدار 1.1-65374 أو أحدث. تحديث Synology DiskStation Manager (DSM) إلى الإصدار 6.2.4-25556-8 أو أحدث. تحديث Synology DiskStation Manager (DSM) إلى الإصدار 7.1.1-42962-7 أو أحدث. تحديث Synology DiskStation Manager (DSM) إلى الإصدار 7.2-64570-4 أو أحدث. تحديث Synology DiskStation Manager (DSM) إلى الإصدار 7.2.1-69057-6 أو أحدث. تحديث Synology DiskStation Manager (DSM) إلى الإصدار 7.2.2-72806-1 أو أحدث. تحديث Synology Unified Controller (DSMUC) إلى الإصدار 3.1.4-23079 أو أحدث. تقييد الوصول إلى نقطة النهاية /webapi/entry.cgi من الإنترنت لتقليل مخاطر الاستغلال عن بُعد.