Se ha reportado un nuevo aviso de seguridad sobre múltiples vulnerabilidades que afectan a Synology Router Manager, que permitirían a un atacante realizar ejecución arbitraria de código, lectura arbitraria de archivos, ataques del tipo man-in-the-middle, entre otros.
Las vulnerabilidades reportadas se componen de 1 (una) de severidad “Crítica”, 2 (dos) de severidad “Alta” y 1 (una) de severidad “Media”. Las mismas se detallan a continuación:
- CVE-2023-32956, de severidad “Crítica”, con puntuación de 9.8. Esta vulnerabilidad del tipo os command injection se debe al manejo incorrecto de elementos especiales utilizados en el componente CGI en Synology Router Manager (SRM). Esto permitiría a un atacante remoto realizar ejecución de código arbitrario en el sistema afectado.
- CVE-2023-32955, de severidad “Alta”, con puntuación de 8.1. Esta vulnerabilidad del tipo os command injection se debe al manejo incorrecto de elementos especiales utilizados en la funcionalidad del cliente DHCP en Synology Router Manager (SRM). Esto permitiría a un atacante remoto realizar ataques del tipo man-in-the-middle y ejecución de comandos arbitrarios en el sistema afectado.
- CVE-2022-43932, de severidad “Alta”, con puntuación de 7.5. Esta vulnerabilidad del tipo command injection se debe al manejo incorrecto de elementos especiales utilizados en el componente CGI en Synology Router Manager (SRM). Esto permitiría a un atacante remoto a través de vectores específicamente diseñados, leer archivos arbitrarios en el sistema afectado.
- CVE-2023-0077, de severidad “Media”, con puntuación de 6.5. Esta vulnerabilidad del tipo integer overflow se debe a una falla de seguridad en el componente CGI en Synology Router Manager (SRM). Esto permitiría a un atacante remoto realizar ataques del tipo buffer overflow pudiendo causar denegación de servicio en el sistema afectado.
Los productos afectados son:
- Synology Router Manager (SRM), versiones anteriores a 1.2.5-8227-6.
- Synology Router Manager (SRM), versiones anteriores a 1.3.1-9346-3.
Recomendamos instalar la actualización correspondiente provista por el fabricante, mediante los siguientes enlaces:
Referencias:
- https://securityonline.info/cve-2023-32956-critical-vulnerability-in-synology-router-manager/
- https://nvd.nist.gov/vuln/detail/CVE-2023-32956
- https://nvd.nist.gov/vuln/detail/CVE-2023-32955
- https://nvd.nist.gov/vuln/detail/CVE-2022-43932
- https://nvd.nist.gov/vuln/detail/CVE-2023-0077
- https://www.synology.com/en-global/security/advisory/Synology_SA_22_25
- https://www.synology.com/en-global/support/download