NAS Synology: Hai lỗ hổng zero-day không cần xác thực

Công ty Synology đã phát hành hai thông báo an ninh cho hệ điều hành DSM, trong đó hai lỗ hổng zero-day cho phép tấn công từ xa không cần xác thực. Những lỗ hổng này được đánh giá rất nghiêm trọng và có thể gây ra nhiều hậu quả.

Nội dung chính

• Synology đã phát hành hai thông báo an ninh SA-26:19 và SA-26:18.
• SA-26:19 khắc phục hai lỗ hổng zero-day, trong đó một lỗ hổng cho phép tấn công SQL và lỗ hổng khác cho phép trốn tránh xác thực rsync.
• SA-26:18 khắc phục 25 lỗ hổng khác, trong đó ba lỗ hổng có điểm CVSS 8,8.
• Hai lỗ hổng zero-day trong SA-26:19 được đánh giá CVSS 9,8 và 8,6.
• Synology khuyến nghị cập nhật lên DSM 7.2.2-72806-10 hoặc cao hơn.

Chi tiết sự việc

Bạn quản lý một thiết bị NAS Synology? Một cảnh báo an ninh mới đã được phát hành, liên quan đến hai lỗ hổng nghiêm trọng trong DSM, hệ điều hành của Synology. Trong số đó, hai lỗ hổng cho phép tấn công từ xa và không cần xác thực. Đây là cách bảo vệ thiết bị của bạn.

Synology đã phát hành hai thông báo an ninh liên quan đến DSM. Thông báo đầu tiên (SA-26:19) được đánh giá là nghiêm trọng, vì nó khắc phục hai lỗ hổng mà kẻ tấn công có thể khai thác mà không cần tài khoản nào trên thiết bị NAS. Thông báo thứ hai (SA-26:18) bao gồm 25 lỗ hổng an ninh khác, trong đó có một số được đánh giá là quan trọng.

Ngày 18 tháng 9 vừa qua, Synology đã phát hành một thông báo (SA-26:13) sau khi sửa hai lỗ hổng nghiêm trọng (CVE-2026-13639 và CVE-2026-13684) với hậu quả tương tự. Mới đây, tôi đã viết một bài về làn sóng tấn công ransomware C3RB3R đối với NAS Synology, trong đó nhà sản xuất Trung Quốc 360 xác định hai lỗ hổng này là điểm vào. Hiện nay, có một sự căng thẳng thực sự xung quanh hệ sinh thái Synology.

Hai lỗ hổng mới nghiêm trọng này bao gồm:

CVE-2026-76954 (CVSS 9,8 / 10): một cuộc tấn công SQL (một yêu cầu bị lừa để làm lộ cơ sở dữ liệu nội bộ) vào Auth API, thành phần của DSM quản lý đăng nhập. Một kẻ tấn công từ xa không cần xác thực có thể đọc hoặc viết các tệp tùy ý và gây ra sự từ chối dịch vụ, nghĩa là làm NAS hoặc một số dịch vụ không thể sử dụng.

CVE-2026-85101 (CVSS 8,6 / 10): một cách xâm nhập vào rsync. Rsync là dịch vụ cho phép các máy khác đồng bộ hóa hoặc sao lưu tệp lên NAS. Trong trường hợp này, không cần xác thực, kẻ tấn công có thể đọc một số tệp, viết các tệp tùy ý và gây ra sự từ chối dịch vụ.

Lỗ hổng đầu tiên là đáng lo ngại nhất. Auth API được sử dụng ngay từ trang đăng nhập của DSM: một NAS có giao diện web có thể truy cập từ Internet là dễ bị tấn công nhất. Synology không nói về việc thực thi mã, nhưng khả năng viết các tệp tùy ý trên hệ điều hành Linux vẫn là một hướng rất quan trọng để làm hỏng thiết bị.

Với lỗ hổng thứ hai, điều này phụ thuộc vào cấu hình NAS của bạn: dịch vụ rsync phải được kích hoạt trên NAS (Giao diện quản lý, tab Dịch vụ tệp, tab rsync). Nó được tắt mặc định.

DSM: phiên bản nào nên cài đặt trên NAS của bạn?

Đây là phiên bản tối thiểu cần cài đặt cho mỗi nhánh của DSM bị ảnh hưởng:

DSM 7.2.2: 7.2.2-72806-10 hoặc cao hơn.

DSM 7.2.1: 7.2.1-69057-13 hoặc cao hơn.

Người dùng Free Download Manager dưới hệ điều hành Linux, hãy kiểm tra xem máy tính có bị nhiễm malware không.

Trong chuỗi tin về an ninh mạng, botnet Glassworm đã nhắm vào GitHub và VS Code và đã bị tiêu diệt!

Glassworm là một phần của chuỗi cung ứng (supply chain) tấn công, cho thấy mối đe dọa từ các hệ thống liên kết.

Nhóm tấn công đã khai thác lỗ hổng trong các ứng dụng của GitHub và VS Code, tạo ra botnet để xâm nhập vào hệ thống.

Khuyến nghị

• Cập nhật lên phiên bản mới nhất của DSM.
• Kiểm tra và cập nhật các dịch vụ như rsync.
• Theo dõi các thông báo an ninh từ Synology.

Lưu ý: Bài viết được biên dịch và tóm tắt tự động bằng AI từ nguồn IT-Connect · Cybersécurité (Pháp). Vui lòng đối chiếu bài gốc trước khi sử dụng.