Synology'nin DiskStation Manager'ında Yeni Yönetici Devralma Güvenlik Açığı Ortaya Çıktı - Dünyadan Güncel Teknoloji Haberleri

Synology'nin DiskStation Manager'ında Yeni Yönetici Devralma Güvenlik Açığı Ortaya Çıktı - Dünyadan Güncel Teknoloji Haberleri
Math Bunları güvenlikle ilgili hiçbir şey için kullanmayın

Brizinov, “Math random()’ın kriptografik olarak güvenli rastgele sayılar sağlamadığını hatırlamak önemlidir ” söz konusu Salı günü yayınlanan bir raporda güncellemeler Haziran 2023’te yayınlandı “Sonunda yönetici hesabına giriş yapmak için şifreyi kullanabildik (etkinleştirdikten sonra) ”

Ancak saldırı, bir saldırganın, sözde rastgele sayı üretecinin çekirdek ifadesini yeniden oluşturabilmek için kurulum işlemi sırasında aynı yöntemi kullanarak oluşturulan birkaç GUID’i başarıyla çıkarmasına dayanır (PRNG) Random() tarafından oluşturulan birkaç sayının çıktısını sızdırarak, PRNG’nin çekirdeğini yeniden oluşturabildik ve bunu yönetici şifresine kaba kuvvet uygulamak için kullanabildik” diye açıkladı “Bunu yaptıktan sonra bile yerleşik yönetici kullanıcı hesabı varsayılan olarak devre dışıdır ve çoğu kullanıcı bunu etkinleştirmez

Claroty’den Sharon Brizinov, “Bazı nadir koşullar altında, bir saldırgan sahte rastgele sayı üretecinin (PRNG) tohumunu geri yüklemeye, yönetici şifresini yeniden oluşturmaya ve yönetici hesabını uzaktan ele geçirmeye yetecek kadar bilgiyi sızdırabilir Kusur, Synology tarafından giderildi

Sorun, yazılımın JavaScript’e dayanan zayıf bir rastgele sayı üreteci kullanması gerçeğinden kaynaklanmaktadır

Güvensiz rastgelelik olarak adlandırılan bu ortaya çıkar öngörülebilir değerler üretebilen veya yeterli entropiye sahip olmayan bir işlev, güvenlik bağlamında rastgelelik kaynağı olarak kullanıldığında, bir saldırganın şifrelemeyi kırmasına ve hassas bilgi ve sistemlerin bütünlüğünü bozmasına olanak tanır Bunun yerine Web Crypto API’yi ve daha kesin olarak window


18 Ekim 2023Haber odasıGüvenlik Açığı / Veri Güvenliği

Synology DiskStation Manager’da orta düzeyde bir kusur keşfedildi (DSM) bir yöneticinin şifresini çözmek ve hesabı uzaktan ele geçirmek için kullanılabilir

CVE-2023-2729 tanımlayıcısı atanan kusurun ciddiyeti CVSS puanlama ölçeğinde 5,9 olarak derecelendirildi “



siber-2

getRandomValues() yöntemini kullanın

Dolayısıyla bu tür kusurların başarılı bir şekilde kullanılması, tehdit aktörünün oluşturulan şifreyi tahmin et ve aksi takdirde kısıtlanan işlevlere erişim kazanın Random durumuna kaba kuvvet uygulaması ve yönetici şifresini ele geçirmesi gerekecektir ”

“Bir kez daha Math ” dedi crypto

Brizinov, “Gerçek hayattaki bir senaryoda, saldırganın öncelikle yukarıda belirtilen GUID’leri sızdırması, Math random() yöntemi Ağa bağlı depolama (NAS) cihazının yönetici parolasını programlı olarak oluşturmak için