Synology DiskStation Managerのユーザー API に SQL インジェクションの脆弱性、LDAP連携で情報漏えいや妨害のおそれ
Summary
Synology DiskStation Manager(DSM)のユーザー APIに、SQLコマンドの特殊文字を無害化しない脆弱性が見つかりました。細工されたLDAPまたはActive Directoryサーバーを接続先にすると、任意のファイルの読み書きやサービス妨害を受けるおそれがあります。DSM 7.4.1-90080-1と7.3.2-86009-5以降に修正版が公開されているため、修正版へ更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Synology DiskStation Manager(DSM)のユーザー APIに、SQLコマンドの特殊文字を無害化しない脆弱性が見つかりました。細工されたLDAPまたはActive Directoryサーバーを接続先にすると、任意のファイルの読み書きやサービス妨害を受けるおそれがあります。DSM 7.4.1-90080-1と7.3.2-86009-5以降に修正版が公開されているため、修正版へ更新してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| SynologyDiskStation Manager (DSM) |
≥ 7.4.1, < 7.4.1-90080-1→ 7.4.1-90080-1 ≥ 7.3.2, < 7.3.2-86009-5→ 7.3.2-86009-5 |
7.4.1-90080-1 7.3.2-86009-5 |
Original description The description as published by the source.
An improper neutralization of special elements used in an SQL command vulnerability in the User API in Synology DiskStation Manager (DSM) before 7.3.2-86009-5 and 7.4.1-90080-1 allows remote attackers with control over a compromised LDAP or Active Directory server to read or write arbitrary files and conduct denial-of-service attacks.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web security@synology.com
- web nvd.nist.gov
- web github.com