Synology a corrigé une faille de sécurité critique dans VPN Plus Server
Synology a mis en ligne un correctif de sécurité pour protéger ses utilisateurs de VPN Plus Server d'une faille de sécurité critique, mais ce n'est pas la seule faille corrigée. Faisons le point.
Identifiée avec la référence CVE-2022-43931, cette faille de sécurité affecte la fonctionnalité VPN Plus Server, qui est liée aux routeurs de chez Synology. Plus précisément, c'est la fonction "Remote Desktop" de VPN Plus Server qui contient cette vulnérabilité. Dans le cas présent, les NAS Synology ne sont pas affectés.
Pour ceux qui utilisent un routeur Synology, que ce soit sur le système SRM 1.2 ou SRM 1.3, vous devez installer la dernière mise à jour de sécurité sans attendre. La vulnérabilité en question est considérée comme critique puisqu'elle hérite d'un score CVSS de 10 sur 10 !
Découverte par les équipes internes de Synology, cette vulnérabilité permet à un attaquant distant (et qui peut donc contacter votre routeur par l'interface WAN) "d'exécuter des commandes arbitraires via des vecteurs non spécifiés".
Comment se protéger contre la CVE-2022-43931 ?
Vous devez mettre à jour votre routeur Synology vers l'une des versions suivantes :
- VPN Plus Server for SRM 1.2 : mise à jour vers la version 1.4.3-0534 ou supérieur
- VPN Plus Server for SRM 1.3 : mise à jour vers la version 1.4.4-0635 ou supérieur
Le bulletin officiel est disponible sur le site de Synology à cette adresse : Synology - SA-22-26
D'autres vulnérabilités découvertes dans SRM
Par ailleurs, Synology a mis en ligne un second bulletin de sécurité qui évoque plusieurs vulnérabilités critiques au sein de SRM. Autrement dit, ce second bulletin s'adresse également aux routeurs Synology.
En exploitant ces failles, un attaquant peut exécuter des commandes arbitraires sur l'appareil, parvenir à lire des fichiers à distance, mais également mener une attaque de type déni de service.
Ce sont des chercheurs en sécurité de chez Devcore, CrowdStrike et de la Zero Day Initiative qui ont fait la découverte de ces failles. En fait, cela fait suite aux travaux effectués lors de l'événement Pwn2Own qui s'est déroulé à Toronto début décembre 2022.
Une raison supplémentaire d'effectuer les dernières mises à jour sur votre appareil !
