ITよろづや

ITの参考になる情報を備忘録代わりに残していきます

Synologyのルータ、NASソフトウェアに深刻な脆弱性 Safe Access CVE-2020-27660 CVE-2020-27659

Synologyのルータ、NASソフトウェアに深刻な脆弱性 Safe Access CVE-2020-27660 CVE-2020-27659についての情報になります。

 

Synologyが提供するルータやNASに搭載されているソフトウェアに深刻な脆弱性が含まれていることがわかったそうで、一部はアップデートが未提供となっているとのことです。

 

以下は抜粋。

 

「Synology Router」のデバイス管理向けプログラム「Safe Access」では2件の脆弱性「CVE-2020-27660」「CVE-2020-27659」が判明した。

「CVE-2020-27660」は、SQLインジェクション脆弱性。共通脆弱性評価システム「CVSSv3」のベーススコアは、最高値の「10」に対して「9.6」と評価されている。重要度は「クリティカル(Critical)」。

また「CVE-2020-27659」はクロスサイトスクリプティングXSS)の脆弱性で「CVSSv3」のベーススコアは「8.4」。重要度については1段階低い「重要(Important)」とレーティングされている。同社はアップデートとなる「同1.2.3-0234」で脆弱性に対処した。

 

Synology製の複数製品に深刻な脆弱性 - 一部はパッチ未提供

https://www.security-next.com/121332

 

 

メーカーのサイトはこちらです。

https://www.synology.com/ja-jp/security/advisory

 

Synology-SA-20:25 Safe Access

 

Abstract

Multiple vulnerabilities allow remote attackers to execute arbitrary code via a susceptible version of Safe Access.

Affected Products

 

CVE-2020-27659
Severity: Important
CVSS3 Base Score: 8.4
CVSS3 Vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H
Multiple cross-site scripting (XSS) vulnerabilities in Synology SafeAccess before 1.2.3-0234 allow remote attackers to inject arbitrary web script or HTML via the (1) domain or (2) profile parameter.

 

CVE-2020-27660
Severity: Critical
CVSS3 Base Score: 9.6
CVSS3 Vector: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
SQL injection vulnerability in request.cgi in Synology SafeAccess before 1.2.3-0234 allows remote attackers to execute arbitrary SQL commands via the domain parameter.

 

対象方法は、1.2.3-0234かそれ以上にアップグレードします。