Банк данных угроз безопасности информации

Федеральная служба по техническому и экспортному контролю

ФСТЭК России

Государственный научно-исследовательский испытательный институт проблем технической защиты информации

ФАУ «ГНИИИ ПТЗИ ФСТЭК России»

BDU:2023-02663: Уязвимость компонента CGI операционной системы Synology Router Manager, позволяющая нарушителю выполнить произвольный код

Описание уязвимости	Уязвимость компонента CGI операционной системы Synology Router Manager, используемой для управления сетевыми устройствами, связана с возможностью внедрения команд. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код
Вендор	Synology Inc.
Наименование ПО	Synology Router Manager (SRM)
Версия ПО	до 1.3.1-9346-3 до 1.2.5-8227-6
Тип ПО	Операционная система
Операционные системы и аппаратные платформы	Данные уточняются
Тип ошибки	Непринятие мер по нейтрализации специальных элементов, используемых в команде операционной системы (Внедрение в команду операционной системы)
Идентификатор типа ошибки	CWE-78
Класс уязвимости	Уязвимость кода
Дата выявления	16.05.2023
Базовый вектор уязвимости	CVSS 2.0: AV:N/AC:L/Au:N/C:C/I:C/A:C CVSS 3.0: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Уровень опасности уязвимости	Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10) Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)
Возможные меры по устранению уязвимости	Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков. Компенсирующие меры: - использование средств межсетевого экранирования и средств обнаружения и предотвращения вторжений (IDS/IPS) для отслеживания подключений к устройству; - ограничение доступа к устройству из внешних сетей (Интернет); - использование средств межсетевого экранирования с целью ограничения доступа к устройству. Использование рекомендаций производителя: https://www.synology.com/en-global/security/advisory/Synology_SA_22_25
Статус уязвимости	Подтверждена производителем
Наличие эксплойта	Данные уточняются
Способ эксплуатации	Инъекция
Способ устранения	Обновление программного обеспечения
Информация об устранении	Уязвимость устранена
Ссылки на источники	https://www.synology.com/en-global/security/advisory/Synology_SA_22_25
Идентификаторы других систем описаний уязвимостей	CVE: CVE-2023-32956
Прочая информация	Данные уточняются

Последние изменения