BDU:2024-09014

Опубликовано: 25 окт. 2024

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Высокий

Описание

Уязвимость программного средства для управления хранилищами Synology Photos микропрограммного обеспечения устройств хранения данных Synology связана с ошибками при управлении привилегиями. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код с root-привилегиями

Вендор

Synology Inc.

Наименование ПО

Photos

Версия ПО

до 1.7.0-0795 (Photos)

до 1.6.2-0720 (Photos)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- ограничение доступа из внешних сетей (Интернет) к уязвимым устройствам;

- использование виртуальных частных сетей для организации удаленного доступа (VPN) к уязвимым устройствам;

- использование средств межсетевого экранирования для ограничения доступа к уязвимым устройствам.

Использование рекомендаций:

https://www.synology.com/en-us/security/advisory/Synology_SA_24_19

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-10443
CVE

EPSS

Процентиль: 99%

0.70846

Высокий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2024-10443

CVSS3: 9.8

nvd

около 1 года назад

Improper neutralization of special elements used in an OS command ('OS Command Injection') vulnerability in Task Manager component in Synology BeePhotos before 1.0.2-10026 and 1.1.0-10053 and Synology Photos before 1.6.2-0720 and 1.7.0-0795 allows remote attackers to execute arbitrary code via unspecified vectors.

GHSA-8vv5-qvx6-mqw7

CVSS3: 9.8

github

около 1 года назад

Improper neutralization of special elements used in a command ('Command Injection') vulnerability in Task Manager component in Synology BeePhotos before 1.0.2-10026 and 1.1.0-10053 and Synology Photos before 1.6.2-0720 and 1.7.0-0795 allows remote attackers to execute arbitrary code via unspecified vectors.

EPSS

Процентиль: 99%

0.70846

Высокий

9.8 Critical

CVSS3

10 Critical

CVSS2