Une faille critique découverte dans les NAS Synology
Les NAS de la marque Synology, réputés pour leur simplicité d’utilisation et leur efficacité, sont aujourd’hui sous les feux de la rampe pour une raison moins réjouissante. Une faille de sécurité majeure, qui ne nécessite aucune interaction de l’utilisateur pour être exploitée, a récemment été révélée.
Cette faille, particulièrement sérieuse, permet d’accéder à tous les NAS de la marque ainsi qu’aux BeeStations, un produit développé par Synology qui simplifie la publication en ligne de fichiers stockés localement. L’exploitation de cette vulnérabilité se fait à travers l’application Synology Photo Station, ou Synology Photos dans ses versions les plus récentes. Un pirate peut utiliser cette brèche pour pénétrer dans l’interface web de l’application et initier une escalade de privilèges jusqu’à obtenir les droits du compte root, lui ouvrant ainsi les portes à toutes les données stockées.
La découverte de cette vulnérabilité est l’œuvre d’un groupe de chercheurs néerlandais. Ils ont souligné que l’exploitation de cette faille ne nécessite aucune action de la part du propriétaire du NAS, d’où son appellation de faille « zéro-click ». Comme le souligne leur intervention dans le magazine Wired, ces appareils sont largement utilisés non seulement par des particuliers, mais également par de nombreuses organisations de petite taille mais essentielles. Le groupe de chercheurs a pu accéder aux systèmes de stockage de plusieurs corps de police aux États-Unis et en France, de transporteurs, d’entreprises pharmaceutiques et même de gestionnaires de réseaux électriques à l’échelle nationale dans plusieurs pays.
Il est donc crucial de mettre à jour l’application Synology Photos afin de corriger cette faille au plus vite. Ignorer cette mise à jour pourrait vous exposer à des risques de sécurité significatifs, y compris des demandes de rançon en cryptomonnaies par des cybercriminels dans un avenir proche.
Update de l’article : il est important de noter que les BeeStations, bien qu’étant une extension de la marque Synology, sont également affectées par cette faille critique. Cette vulnérabilité est particulièrement préoccupante pour un dispositif conçu pour un accès en ligne constant.