Synology-Forum.nl

Algemeen => Synology Awards & Reviews (NL) => Topic gestart door: Birdy op 30 oktober 2019, 15:39:03

Titel: Security Advisory
Bericht door: Birdy op 30 oktober 2019, 15:39:03

Security Advisory       
 
Severity: Important
   
Status: Ongoing

Abstract
These vulnerabilities allow remote attackers to bypass security constraints via a susceptible version of DiskStation Manager (DSM), Synology Router Manager (SRM), and allow remote authenticated users to conduct denial-of-service attacks via a susceptible version of Synology Directory Server.

Affected Products
Product                       Severity        Fixed Release Availability
DSM 6.2                       Important       Ongoing
SkyNAS                        Important       Ongoing
VS960HD                      Not affected       N/A
SRM 1.2                       Not affected       N/A
Active Directory Server  Moderate        Ongoing

Reference
•   Samba Releases Security Updates (https://www.us-cert.gov/ncas/current-activity/2019/10/29/samba-releases-security-updates)
•   CVE-2019-10218 (https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-10218)
•   CVE-2019-14833 (https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-14833)
•   CVE-2019-14847 (https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-14847)

Revision   Date                   Description
1            2019-10-30          Initial public release.

Titel: Re: Security Advisory
Bericht door: Briolet op 30 oktober 2019, 16:57:43

Lekker duidelijk. De eerste is samba gerelateerd. De andere 3 zijn zo nieuw dat nog niet vrijgegeven is waar die bugs betrekking op hebben. Op dit moment kun je er nog niets mee. Behalve dat je weet dat er 4 problemen zijn.

In de gaten houden dus.

Titel: Re: Security Advisory
Bericht door: ufosyno op 31 oktober 2019, 11:40:41

Als je even Googelt, kom je er al snel achter dat alle drie gemelde CVE op Samba slaan en niet eens echte bedreigingen betreffen.

Het gaat om het onjuist doorgeven van het hele path, een onjuiste afhandeling van wachtwoorden met meerdere non-ascii tekens en een situatie waarin een "get changes" de oorzaak kan zijn van een crash... even heel kort neergeschreven.