群晖科技:OpenSSL漏洞波及该公司多项产品

开源的安全通信软件函数库OpenSSL在24日修补了CVE-2021-3711与CVE-2021-3712两个安全漏洞,台湾网络附加存储(NAS)制造商群晖科技(Synology)很快就警告,该公司有多款NAS及VPN产品受到这两个漏洞的影响,并正着手修补中。

其中的CVE-2021-3711为一SM2加密缓冲区溢出漏洞,成功的开采将允许黑客变更应用程序的行为或造成应用程序宕掉,其CVSS风险评分为8.1。而CVE-2021-3712则是因假定ASN.1字符串是以NUL结束,黑客若迫使应用程序调用一个函数,故意使用非以NUL结束的字符串,就能触发该漏洞,导致应用程序宕掉或披露内存中的信息,其CVSS风险评分为5.3。

群晖表示,受到这两个漏洞影响的产品包括不同版本的DiskStation Manager(DSM)与Synology Router Manager(SRM),以及虚拟网络服务器VPN Plus Server与VPN Server(如下图所示)。其中,DSM为Synology NAS专用的操作系统,Synology Router Manager则是Synology路由器操作系统,目前该公司正在修补受到波及的平台。

图片截取自群晖科技官方网站(截屏时间:8月27日16:44)

除了群晖的产品之外,红帽也有多个产品受到这两个漏洞的波及。

今年8月初,群晖才收到用户回应有异常数量的IP企图登录该公司的NAS产品,群晖的调查显示,黑客是通过暴力破解法发动攻击,并非开采系统漏洞,同时建议用户强化账号权限与密码设置。

其实群晖自2017年就推出漏洞挖掘奖励项目,截至今年3月,已与超过200名的安全研究人员或组织合作,所颁发的奖金超过25万美元。

发表评论