На прошлой неделе компания Synology, производитель популярных сетевых накопителей данных, выпустила обновление утилиты Synology Photos, закрывающее серьезную уязвимость. В случае если NAS доступен из Интернета и данная утилита на нем установлена, потенциальный злоумышленник может получить root-доступ. Какие-либо действия со стороны пользователя не требуются.
Уязвимость была обнаружена нидерландскими исследователями из компании Midnight Blue в ходе конкурса Pwn2Own в Ирландии. По утверждению экспертов, на обнаружение уязвимости они потратили всего пару часов. Надо отметить, что и патч был выпущен производителем оперативно, через два дня после сообщения об уязвимости. Технических деталей и в отчете Midnight Blue, и в публикациях СМИ практически нет, их не разглашают, чтобы не подвергать клиентов Synology дополнительному риску. Но в публикации исследователей раскрывается интересный и необычный канал утечки информации об устройствах NAS через сервис Let’s Encrypt.
Читать дальше →
Все статьи подряд / Информационная безопасность / Хабр