Kritične ranjivosti u Synology DSM-u omogućuju napad bez lozinke

Dvije ranjivosti u Synologyjevu DSM sustavu, od kojih najteža nosi ocjenu 9,8 od 10, omogućuju napadaču pisanje datoteka na NAS uređaj bez ikakve lozinke.

Synology je u utorak, 10. studenoga, objavio sigurnosni savjet pod oznakom Synology-SA-26:19 s ispravcima za dvije kritične ranjivosti u DSM-u, operativnom sustavu svojih NAS uređaja. Riječ je o pohrani podataka koja se u kućanstvima koristi za obiteljske fotografije i sigurnosne kopije računala, a u tvrtkama za poslovnu dokumentaciju — i koja je često dostupna izvana, što je čini metom.

Najteža ranjivost, CVE-2026-76954, nalazi se u Auth API-ju, modulu koji upravlja prijavom korisnika. Riječ je o SQL injekciji, tehnici kojom se u polje za unos podmetnu naredbe koje baza podataka zatim izvrši. Ocjena 9,8 na ljestvici CVSS znači kritičnu razinu: napad ne traži ni korisničko ime ni lozinku, a ni bilo kakvu radnju same žrtve. Napadač tako može čitati i pisati datoteke ili srušiti uređaj.

Druga ranjivost, CVE-2026-85101, pogađa rsync, servis za sinkronizaciju i sigurnosno kopiranje datoteka između strojeva. Ona zaobilazi provjeru identiteta zaobilaznim putem i dopušta pisanje bilo koje datoteke, ali čitanje samo nekih. Synology je zato svrstava razinu niže, u kategoriju „važno”, s ocjenom 8,6.

Pogođeni su svi modeli, popis ne postoji

Savjet navodi verzije DSM-a, a ne konkretne modele: 7.4, 7.3, 7.2.2 i 7.2.1. Budući da taj sustav pokreće cijelu paletu uređaja, izložen je svaki NAS koji radi na jednoj od tih verzija bez posljednjeg ispravka. Synology izričito navodi da zaobilazno rješenje ne postoji — jedina zaštita je nadogradnja. Tvrtka zasad ne izvještava o napadima koji bi iskoristili te propuste.

Ovo je drugo upozorenje te razine u dva mjeseca. Dana 18. rujna Synology je već ispravio dvije ranjivosti DSM-a ocijenjene 9,8, koje su također omogućavale čitanje i pisanje datoteka na daljinu. Tada se pojavio i ransomware C3RB3R, koji je napao uređaje te marke.

Kako provjeriti je li uređaj zakrpan

U DSM-u treba otvoriti Upravljačku ploču, odjeljak Ažuriranje i vraćanje, gdje se vidi instalirana verzija i pokreće nadogradnja. Uređaj mora dosegnuti barem ispravljenu inačicu svoje grane: DSM 7.4 verziju 7.4.1-90080-1 ili noviju, DSM 7.3 verziju 7.3.2-86009-5 ili noviju, DSM 7.2.2 verziju 7.2.2-72806-10 ili noviju te DSM 7.2.1 verziju 7.2.1-69057-13 ili noviju. Ispravci su dostupni od objave savjeta u 10:06 po pariškom vremenu.

Ako nadogradnja nije moguća odmah, jedina mjera je isključiti pristup NAS uređaju s interneta dok se ne zakrpa. To je ujedno i pitanje koje proizvođač ne postavlja: zašto uređaj namijenjen čuvanju najosjetljivijih podataka uopće dolazi s tvornički otvorenim vratima prema internetu, umjesto da pristup izvana bude izuzetak koji korisnik svjesno uključuje?

Dva kritična propusta iste težine u dva mjeseca nisu slučajnost nego obrazac. Vlasnici NAS uređaja ne bi trebali čekati treće upozorenje da shvate kako im sigurnost podataka ovisi o disciplini proizvođača na koju ne mogu utjecati — ali mogu utjecati na to da im uređaj ne bude dostupan cijelom svijetu.