群暉公布影響NAS機密性的資安漏洞細節

本週群暉針對今年2月發布資安公告Synology-SA-25:03 DSM說明進一步細節，這則公告的內容主要是針對NAS作業系統DiskStation Manager（DSM）揭露資安漏洞CVE-2025-1021，此漏洞由資安業者戴夫寇爾（Devcore）通報，影響7.2.2、7.2.1、7.1版DSM，他們發布7.2.2-72806-3、7.2.1-69057-7、7.1.1-42962-8版DSM予以修補。

群暉指出這項漏洞存在於名為synocopy的元件，起因是缺乏授權，一旦攻擊者成功利用，就有機會透過可寫入（Writable）的網路檔案系統（Network File System，NFS）服務，讀取任意檔案，CVSS風險為7.5分。為何群暉要強調「可寫入」的NFS服務？一般來說，NFS在多數情況是可以讀取和寫入，但NFS也能設置為唯讀模式，群暉SIRT強調，只要NAS配置為可寫入的NFS，這項弱點就會出現。

根據群暉評估其危險因子，這項漏洞高度影響機密性，攻擊者利用的複雜程度不高、無需特殊權限，也不需使用者互動。由於群暉強調，這項漏洞能讓攻擊者以不特定的方法，遠端存取NAS的任何檔案，這代表攻擊者很有可能藉此竊取使用者的資料，或是NAS存放的企業內部檔案，甚至是帳密資料與NAS的系統配置，這項弱點帶來的影響，有可能相當深遠。由於沒有其他替代的緩解措施，因此IT人員應儘速套用新版DSM因應。