Synology waarschuwt: ransomware op oude DSM-versies

Synology meldt dat aanvallers actief NAS-apparaten versleutelen die op een verouderde versie van DiskStation Manager draaien. Het bedrijf kwam op 29 oktober met een persbericht waarin het gebruikers oproept DSM onmiddellijk bij te werken. Het gaat niet om een nieuw lek: de kwetsbaarheid die wordt misbruikt, is al bijna twee jaar gedicht.

Een lek uit Pwn2Own 2024

Synology verwijst naar advisory Synology-SA-24:20, met de toevoeging "PWN2OWN 2024". Die advisory verscheen op 5 november 2024 en bundelt drie kwetsbaarheden die onderzoekers tijdens die hackwedstrijd vonden.

De zwaarste is CVE-2024-10441, met een CVSS-score van 9.8. Het is een fout in de afhandeling van uitvoer in de system plugin daemon, waarmee een aanvaller op afstand willekeurige code kan uitvoeren. Volgens de CVSS-vector is daarvoor geen account en geen handeling van de gebruiker nodig, alleen netwerktoegang tot het apparaat. De twee andere zijn lichter: CVE-2024-50629 (5.3) laat een aanvaller bepaalde bestanden uitlezen via de webapi-component, en CVE-2024-10445 (4.3) zit in de updatefunctie, die certificaten onvoldoende controleert.

Synology schrijft in het persbericht dat het lek in december 2024 is gepatcht. Dat sluit aan op de advisory zelf: daarin stond dat de updates voor DSM 7.2.1, DSM 7.1 en DSMUC 3.1 binnen dertig dagen zouden volgen. Apparaten die sindsdien niet zijn bijgewerkt, staan dus al bijna twee jaar open.

De kwetsbaarheden werden gevonden door Pumpkin Chang en Orange Tsai van het Taiwanese DEVCORE Research Team, door Ryan Emmons en door Team Smoking Barrels.

Wat je nu kunt doen

Volgens de advisory is er geen tijdelijke maatregel ("Mitigation: None"). Bijwerken is de enige oplossing. Synology noemt per versielijn de minimale build:

• DSM 7.2.2 — 7.2.2-72806-1 of hoger
• DSM 7.2.1 — 7.2.1-69057-6 of hoger
• DSM 7.2 — 7.2-64570-4 of hoger
• DSM 7.1 — 7.1.1-42962-7 of hoger
• DSM 6.2 — 6.2.4-25556-8 of hoger

Draai je BeeStation, dan geldt BeeStation OS (BSM) 1.1-65374 of hoger. Let op het volledige buildnummer: "7.2.1" zegt niets, het cijfer achter het streepje bepaalt of de patch erin zit.

Synology adviseert daarnaast automatische updates aan te zetten, zodat dit scenario zich niet herhaalt. Dat advies heeft in dit geval gewicht, want de campagne richt zich volgens Synology expliciet op apparaten die achterlopen.

Dit staat niet los

Het is de tweede keer deze maand dat Synology met een dringend securitybericht komt. Op 22 oktober maakte het bedrijf bekend dat het de updates tegen PHP2Shell ook uitbrengt voor DSM-versies die geen ondersteuning meer krijgen — een uitzondering die Synology zelden maakt. Advisory Synology-SA-26:15 (Node2Shell), met status "Ongoing", is op het moment van schrijven nog niet afgerond.

Voor wie een NAS vanaf internet bereikbaar heeft gemaakt, met port forwarding of via QuickConnect, is de rekensom simpel. Een lek met CVSS 9.8 zonder authenticatie, een werkende aanvalscampagne en geen andere maatregel dan updaten: dit is een klus voor vandaag, niet voor het weekend.