Die Synology VPN Plus Server Schwachstelle

Mit VPN Plus kann Ihr Synology Router einen VPN-Server hosten, der einfach einzurichten und zu verwalten ist. Synology hatte in 2021 angekündigt, dass VPN Plus zu einem lebenslangen kostenlosen Lizenzprogramm wird. Die Lösung ermöglicht es neuen und bestehenden Besitzern der Synology Router RT1900ac, RT2600ac und MR2200ac, unbegrenzten Client-VPN-Zugriff und Site-to-Site-VPN-Lizenzen ohne zusätzliche Kosten dauerhaft zu betreiben. Allerdings werden aktuell Sicherheitslücken gemeldet. Dadurch können Remote-Angreifer SQL-Befehle über anfällige Versionen von Synology VPN Plus Server einschleusen. Benutzer, die SRM 1.3 auf ihren Geräten verwenden, sollten ihre Server auf Version 1.4.6-0685 oder höher aktualisieren. Benutzer, die den VPN Plus-Server von SRM 1.2 verwenden, sollten laut Synology etwas Geduld haben.

Moderates oder kritisches Risiko?

Auf der CERT-Bund-Webseite führt das BSI die Sicherheitslücke ebenfalls auf. Anders als der Hersteller beschreiben die IT-Experten des BSI, dass Angreifer ohne Anmeldung Dateien manipulieren könnten. Das BSI bewertet deshalb das Sicherheitsrisiko mit 9.1 (kritisch).

Generrell geht das BSI konventionell bei seiner Gefahreneinschätzung vor. Vor ca. einem Monat warnte es vor einer vermeintlich kritischen Sicherheitslücke im NTP-Server mit einem CVSS-Wert von 9.8, der nach erweiterter Analyse auf CVSS 4.0 (mittel) herabgestuft wurde.

Silvester vergangenen Jahres warnte Synology vor einer kritischen Schwachstelle im VPN Plus Server. Details und CVE-Eintrag veröffentlichte das Unternehmen fünf Tage nach der Warnung.

Hinweis:

Für Disk Station Manager 7.1 stellt der Hersteller eine fehlerbereinigte Version 7.1-4266-1 bereit. Jedoch für alle anderen Systeme wird noch an einer Aktualisierung und Behebung der Fehler durch die Entwickler gearbeitet. Hier zusätzlich noch die Sicherheitsmeldung von Synology.

Benötigen Sie Unterstützung bei der Aktualisierung Ihrer NAS-Systeme? Wir helfen Ihnen gerne bei der Durchführung des Updates und stehen auch gerne für das Monitoring und der Aktualisierung Ihrer Systeme mit weiteren Updates zur Verfügung.

Um Ihre IT-Sicherheit immer auf dem bestmöglichen Niveau zu halten legen Sie Ihre IT-Angelegenheit in Experten-Hände. Mit unseren Managed Services wird Ihre IT-Sicherheit für Sie zum Kinderspiel.