BDU:2025-02935: Уязвимость системного подключаемого модуля операционных систем Synology BeeStation Manager (BSM), Synology DiskStation Manager (DSM) и сервера корпоративного уровня Synology Unified Controller, позволяющая нарушителю выполнить произвольный код
Детали уязвимости BDU:2025-02935
Описание
Уязвимость системного подключаемого модуля операционных систем Synology BeeStation Manager (BSM), Synology DiskStation Manager (DSM) и сервера корпоративного уровня Synology Unified Controller связана с недостатком механизма кодирования или экранирования выходных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код
Что делать с BDU:2025-02935
Критическая уязвимость (CVSS 9.8) требует немедленного реагирования. По приказу ФСТЭК №117 срок устранения — 24 часа. Проверьте наличие патча у вендора и установите его на все затронутые системы. При невозможности патча — изолируйте уязвимый компонент и примените компенсирующие меры.
⚠ Для этой уязвимости существует публичный эксплойт — риск активной эксплуатации повышен. Устраните в первую очередь.
Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.
Оценка критичности (CVSS)
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HAV:N/AC:L/Au:N/C:C/I:C/A:CCWE — тип уязвимости
CVE — международный идентификатор
Тактики и техники
Уязвимое ПО (7)
| Вендор | Название | Версия | Платформа |
|---|---|---|---|
| Synology Inc. | BeeStation Manager (BSM) | до 1.1-65374 | Не указана |
| Synology Inc. | DiskStation Manager (DSM) | до 7.2.2-72806-1 | Не указана |
| Synology Inc. | DiskStation Manager (DSM) | до 7.2.1-69057-6 | Не указана |
| Synology Inc. | DiskStation Manager (DSM) | до 7.2-64570-4 | Не указана |
| Synology Inc. | DiskStation Manager (DSM) | до 7.1.1-42962-7 | Не указана |
| Synology Inc. | DiskStation Manager (DSM) | до 6.2.4-25556-8 | Не указана |
| Synology Inc. | DiskStation Manager (DSM) | до 3.1.4-23079 | Не указана |
Среды функционирования (7)
| Вендор | Название | Версия | Платформа |
|---|---|---|---|
| Synology Inc. | BeeStation Manager (BSM) | до 1.1-65374 | Не указана |
| Synology Inc. | DiskStation Manager (DSM) | до 7.2.2-72806-1 | Не указана |
| Synology Inc. | DiskStation Manager (DSM) | до 7.2.1-69057-6 | Не указана |
| Synology Inc. | DiskStation Manager (DSM) | до 7.2-64570-4 | Не указана |
| Synology Inc. | DiskStation Manager (DSM) | до 7.1.1-42962-7 | Не указана |
| Synology Inc. | DiskStation Manager (DSM) | до 6.2.4-25556-8 | Не указана |
| Synology Inc. | DiskStation Manager (DSM) | до 3.1.4-23079 | Не указана |
Рекомендации по устранению
Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков. Компенсирующие меры: - использование средств межсетевого экранирования для ограничения возможности удалённого доступа к уязвимому программному обеспечению; - сегментирование сети для ограничения доступа к веб-интерфейсу управления уязвимого устройства из других подсетей; - ограничение доступа из внешних сетей (Интернет); - использование виртуальных частных сетей для организации удаленного доступа (VPN). Использование рекомендаций: https://www.synology.com/en-global/security/advisory/Synology_SA_24_20 https://www.synology.com/en-global/security/advisory/Synology_SA_24_23
SLA ФСТЭК №117
24 часа
по базовой оценке CVSS 9.8
Уточните SLA под вашу среду
Базовый балл 9.8 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.
Пересчитать CVSS с учётом средыThreat Intelligence
SSVC: Немедленно устранить
Эксплуатируется или вероятность крайне высока. Приоритет №1 — устраните в первую очередь.
Вероятность эксплуатации в 30 дней (FIRST EPSS)
Информация
Обнаружена
2024-11-05
Опубликована
2025-03-19
Обновлена
2025-03-19
Эксплойт
Существует
Исправление
Уязвимость устранена
Статус
Подтверждена производителем
Управляйте уязвимостями, а не таблицами
Платформа КиберОснова импортирует БДУ ФСТЭК и привязывает уязвимости к вашим активам.
- Уязвимости → активы → ответственные — цепочка за минуту
- PDF-отчёт для ФСТЭК — за один клик
Связанные уязвимости
Уязвимость функции SYNO::WebEntryCGI::HeaderToEnv() операционных систем Synology DiskStation Manager (DSM), позволяющая
Уязвимость сетевой файловой системы Network File System (NFS) операционной систем Synology DiskStation Manager, позволяю
Уязвимость компонента webapi операционных систем Synology BeeStation Manager (BSM), Synology DiskStation Manager (DSM) и
Уязвимость операционных систем Synology BeeStation Manager (BSM), Synology DiskStation Manager (DSM) и Synology BeeStati
Уязвимость системного подключаемого модуля операционных систем Synology DiskStation Manager (DSM), связанная с ошибками
Что добавляет КиберОснова к данным БДУ ФСТЭК
CVSS v4.0 + калькулятор
Единственный бесплатный калькулятор CVSS v4.0 на русском языке
SLA по приказу №117
Расчёт срока устранения: 24 ч для критических, 7 дней для высоких
EPSS + CISA KEV
Оценка вероятности эксплуатации и статус активных атак
Полнотекстовый поиск
По названию, CVE, CWE, описанию — русский и английский
Связанные уязвимости
Автоматический подбор по затронутому ПО
Мобильная версия
Адаптивный интерфейс для работы с телефона и планшета
Автоматизируйте управление уязвимостями
КиберОснова SGRC: импорт БДУ ФСТЭК, CVSS и привязка к активам в одном интерфейсе.
