PT-2025-11652 · Synology · Synology Diskstation Manager+2

Ryan Emmons · Publicado 2024-11-05 · Atualizado 2025-12-28 · CVE-2024-10441

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do Software Vulnerável e Versões Afetadas Synology BeeStation Manager (BSM) versões anteriores a 1.1-65374 Synology DiskStation Manager (DSM) versões anteriores a 6.2.4-25556-8, 7.1.1-42962-7, 7.2-64570-4, 7.2.1-69057-6 e 7.2.2-72806-1 Synology Unified Controller (DSMUC) versões anteriores a 3.1.4-23079

Descrição Existe um problema no daemon de plugin do sistema do Synology BeeStation Manager (BSM), Synology DiskStation Manager (DSM) e Synology Unified Controller (DSMUC) devido à codificação ou escape de saída inadequados. Isso pode permitir que um atacante remoto execute código arbitrário. A vulnerabilidade foi descoberta durante a competição Pwn2Own e está associada a uma classificação de severidade crítica. A exploração deste problema foi observada em ataques direcionados à infraestrutura da TrustWallet, onde um NAS Synology comprometido executando uma versão vulnerável do DSM foi identificado. A causa raiz está relacionada à neutralização inadequada de delimitadores de argumentos no Vue.JS.

Recomendações Atualize o Synology BeeStation Manager para a versão 1.1-65374 ou posterior. Atualize o Synology DiskStation Manager para a versão 6.2.4-25556-8 ou posterior. Atualize o Synology DiskStation Manager para a versão 7.1.1-42962-7 ou posterior. Atualize o Synology DiskStation Manager para a versão 7.2-64570-4 ou posterior. Atualize o Synology DiskStation Manager para a versão 7.2.1-69057-6 ou posterior. Atualize o Synology DiskStation Manager para a versão 7.2.2-72806-1 ou posterior. Atualize o Synology Unified Controller para a versão 3.1.4-23079 ou posterior.

Correção

RCE

Improper Encoding or Escaping of Output

Enumeração de Fraquezas

CWE-116

Identificadores relacionados

BDU:2025-02935

CVE-2024-10441

ZDI-25-214

Produtos afetados

Synology Beestation Manager

Synology Diskstation Manager

Synology Unified Controller

Referências · 30

• https://synology.com/en-global/security/advisory/Synology_SA_24_23 · Aviso do Fabricante
• https://twitter.com/TheZDIBugs/status/1910074386863759517 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-10441 · Nota de Segurança
• https://twitter.com/TweetThreatNews/status/1902351984738627779 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/1902186239156990090 · Publicação no Twitter
• https://reddit.com/r/CVEWatch/comments/1pxosu8/top_10_trending_cves_28122025 · Publicação no Reddit
• https://twitter.com/chainaraio/status/2004351919586980106 · Publicação no Twitter
• https://synology.com/en-global/security/advisory/Synology_SA_24_20 · Aviso do Fabricante
• https://t.me/cvenotify/116465 · Publicação no Telegram
• https://twitter.com/the_yellow_fall/status/1902215678444368371 · Publicação no Twitter
• https://twitter.com/Netlas_io/status/1902270779120599426 · Publicação no Twitter
• https://t.me/netlas/364 · Publicação no Telegram
• https://t.me/cvetracker/19411 · Publicação no Telegram
• https://twitter.com/cracbot/status/1904126110134390899 · Publicação no Twitter
• https://twitter.com/adriananglin/status/1902301420562350216 · Publicação no Twitter