Synology ir izlaidis steidzamus drošības labojumus divām bīstamām DiskStation Manager (DSM) ievainojamībām, kas apdraud tīklam pieslēgtās datu glabātuves. CVE-2026-76954 novērtēta ar 9,8 punktiem, bet CVE-2026-85101 — ar 8,6 punktiem pēc CVSS skalas. Abos gadījumos uzbrukums var notikt attālināti un bez lietotāja autentifikācijas, tādēļ organizācijām nevajadzētu atlikt NAS iekārtu pārbaudi un atjaunināšanu.
Riski ietver patvaļīgu failu izveidi vai pārrakstīšanu, konkrētu datņu nolasīšanu un pakalpojuma atteices izraisīšanu. Pirmā ievainojamība saistīta ar nepietiekamu īpašo elementu neitralizēšanu SQL komandās DSM autentifikācijas API. Otrā skar rsync komponentu un ļauj apiet autentifikāciju, izmantojot alternatīvu ceļu vai kanālu. Sekas var būt datu konfidencialitātes un integritātes zudums, kā arī glabātuves darbības traucējumi.
Ietekmētas ir DSM 7.4, 7.3, 7.2.2 un 7.2.1 versiju līnijas. Par drošām robežām ražotājs norāda DSM 7.4.1-90080-1, 7.3.2-86009-5, 7.2.2-72806-10 un 7.2.1-69057-13 vai jaunākas versijas. Administratoriem jāsalīdzina katras iekārtas precīzais būvējuma numurs, nevis tikai galvenā versija, jo vecāks labojumu līmenis tajā pašā versiju saimē joprojām var būt ievainojams.
Vispirms jāizveido pilns organizācijā izmantoto Synology iekārtu saraksts, tostarp rezerves kopiju mezgli un glabātuves attālinātās filiālēs. Pēc tam jāuzstāda attiecīgais DSM drošības atjauninājums, jāpārbauda pakalpojumu darbība un žurnāli, kā arī jāierobežo pārvaldības saskarnes pieejamība no interneta. Pirms atjaunināšanas ieteicams pārliecināties par rezerves kopiju derīgumu, tomēr tas nedrīkst kļūt par iemeslu ilgstoši atlikt labojumu.
Īpaša uzmanība jāpievērš iekārtām, kurās glabājas personas dati, biznesa dokumenti vai sistēmu rezerves kopijas. Ja atjauninājumu nav iespējams uzstādīt uzreiz, pagaidu aizsardzībai jāierobežo tīkla piekļuve tikai uzticamiem administratoru segmentiem un jāuzrauga neparastas failu vai rsync darbības. Pēc labojuma ieviešanas vēlreiz jāpārbauda versija un jāfiksē rezultāts aktīvu uzskaitē.
CVE papildinformācija
CVE-2026-76954. DSM autentifikācijas API SQL komandu apstrādes kļūda ļauj attālinātam uzbrucējam lasīt vai rakstīt patvaļīgus failus un izraisīt pakalpojuma atteici. Skartais produkts ir Synology DiskStation Manager. CVE ieraksts.
CVE-2026-85101. DSM rsync komponenta autentifikācijas apiešana var dot iespēju nolasīt noteiktus failus, rakstīt patvaļīgus failus un ierobežotā apjomā traucēt pakalpojuma darbību. Skartais produkts ir Synology DiskStation Manager. CVE ieraksts.
Avots: cert.lv raksts · X ieraksts
