Synology Photos Synology Photos Zero-Click (PWN2OWN 2024)

[samuelt2]

Zeit eure Synology Photos App zu patchen:

https://www.synology.com/en-global/security/advisory/Synology_SA_24_19

https://www.wired.com/story/synology-zero-click-vulnerability/

 

[hoodie]

Ja wie ist denn das nun mit (m)einer DS214+, wo offensichtlich die neueste Version der Photo App die 1.3.3-0330 ist...von 2022? Ich wollte ohnehin mal auf die 224+ umsteigen demnächst, aber eigentlich ungerne dann migrieren, wenn ich da womöglich schon ein Botnetz und Ransomware am laufen hab...!?

 

[ElaCorp]

Hier gibt es noch einen sehr guten Text zu dem Anliegen. Jedes Jahr wieder.
Sogar Fefe hat darüber geschrieben.

Es geht vor allem um die klicks. Bei den anderen wird nicht darüber berichtet.

 

[curt]

Ja wie ist denn das nun mit (m)einer DS214+, wo offensichtlich die neueste Version der Photo App die 1.3.3-0330 ist...von 2022?

Bei einer 216+ von mir das Gleiche.
Online steht aber die aktuelle Version als Download zur Verfügung.

Weiß jemand ob ich die manuell über das DSM (drüber)installieren kann? Ich möchte da kein trial n error machen

 

[maxblank]

Bei einer 216+ von mir das Gleiche.

Auf welchem DSM-Stand bist du mit der DS216+?

Ja wie ist denn das nun mit (m)einer DS214+

Gleiche Frage hier...nur bezüglich deiner DS214+.

 

[curt]

das dürfte es gewesen sein. Noch DSM 7.1.1-42962 Update 6

Irritierend.
Im Security Text wird von 7.2. gesprochen, das habe ich überlesen,
...und nicht weiter drauf geachtet, denn auf der Download Seite vom Pakete steht in der Filterauswahl ganz allgemein "7 Series", was dann in der Beschreibung konkretisiert wird mit 7.2

 

[maxblank]

Beachte aber bitte unbedingt die Einschränkungen, die mit DSM 7.2.2 einhergehen.

https://www.synology.com/de-de/releaseNote/DSM?model=DS216+#7_2

 

[curt]

Danke, auf dieser Maschine habe ich so schnell kein Update vor und wenn für Photos 1.3 keine Warnung ausgesprochen wurde, drängt das auch nicht.

 

[maxblank]

wenn für Photos 1.3 keine Warnung ausgesprochen wurde

Wenn dem so ist, dann passt es natürlich...

 

[hoodie]

Ebenfalls Noch DSM 7.1.1-42962 Update 6 hier. Aber ehrlich gesagt würde es mich wundern, wenn eine ältere Version der DSM und Photo App diese Sicherheitslücke NICHT enthalten soll. Klar, kann ein Exploit sein, der mit irgendeinem Update gekommen ist, aber ich weiß nicht so recht....traue dem Braten nicht.

Gibt es denn irgendeine Möglichkeit, das irgendwie als Laie zu testen? Also, ob da ein klaffendes Loch existiert?
Ich hab meinen DSM zwar nicht explizit erreichbar übers Netz oder Quickconnect geschaltet, aber am Netz hängt die DS dennoch und ich schiebe automatisiert Fotos vom Handy der Oma via SFTP in einen Ordner.

 

[maxblank]

Das Update manuell laden und testen, welche höchste Version installiert werden kann.

Marius hat in seinem Beitrag unter den beiden fetten Beiträgen „Fix“ den manuellen Download-Server verlinkt.
https://mariushosting.com/synology-fixes-synology-photos-vulnerability/

 

[hoodie]

Das Update manuell laden und testen, welche höchste Version installiert werden kann.

Marius hat in seinem Beitrag unter den beiden fetten Beiträgen „Fix“ den manuellen Download-Server verlinkt.
https://mariushosting.com/synology-fixes-synology-photos-vulnerability/

Das liest sich für mich aber so als wenn ich das nur mit der DSM 7.2 installieren kann. Auf der 7.1.xxx scheint die Photo App 1.3.xxx die aktuellste (2022, schluck) zu sein.

 

[maxblank]

Das kann durchaus sein, ich habe das nicht mit allen Einzelheiten geprüft.