Avis du CERT-FR
Objet : Multiples vulnérabilités dans les produits Synology
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à l'intégrité des données
- Atteinte à la confidentialité des données
- Déni de service à distance
- Exécution de code arbitraire à distance
- Injection de code indirecte à distance (XSS)
Systèmes affectés
- BC500 versions antérieures à 1.1.3-0442
- BeePhotos versions 1.1.x antérieures à 1.1.0-10052 pour BeeStation Manager (BSM)
- BeeStation OS versions 1.1.x antérieures à 1.1-65373
- CC400W versions antérieures à 1.1.3-0442
- SRM versions 1.3.x antérieures à 1.3.1-9346-11
- Synology Photos toutes versions pour DSM 7.1
- Synology Photos versions antérieures à 1.7.0-0794 pour DSM 7.2
- TC500 versions antérieures à 1.1.3-0442
L'éditeur indique que la version corrective de Synology Photos pour DSM 7.1 est en cours de développement.
Résumé
De multiples vulnérabilités ont été découvertes dans les produits Synology. Elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et une atteinte à la confidentialité des données.
Solutions
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Synology Synology_SA_24_13 du 16 octobre 2024
https://www.synology.com/fr-fr/security/advisory/Synology_SA_24_13 -
Bulletin de sécurité Synology Synology_SA_24_14 du 16 octobre 2024
https://www.synology.com/fr-fr/security/advisory/Synology_SA_24_14 -
Bulletin de sécurité Synology Synology_SA_24_16 du 18 octobre 2024
https://www.synology.com/fr-fr/security/advisory/Synology_SA_24_16 -
Bulletin de sécurité Synology Synology_SA_24_17 du 18 octobre 2024
https://www.synology.com/fr-fr/security/advisory/Synology_SA_24_17 -
Bulletin de sécurité Synology Synology_SA_24_15 du 26 novembre 2024
https://www.synology.com/fr-fr/security/advisory/Synology_SA_24_15
Gestion détaillée du document
| Date | Description |
|---|---|
| 21 octobre 2024 | Version initiale |
| 22 octobre 2024 | Correction d'une erreur dans le résumé |