🇰🇷 한글 설명
Synology Disk Station 2.x에서 FTP 서버의 USER/PASS 명령을 통해 악의적인 웹 스크립트를 주입할 수 있는 크로스사이트 스크립팅(XSS) 취약점입니다. 공격자가 조작된 명령을 전송하면 웹 인터페이스의 로그 윈도우에 기록되면서 스크립트가 실행되는 웹 명령 주입 문제입니다.
💡 쉬운 설명
Synology 나스의 파일 전송 기능(FTP)을 통해 악의적인 코드가 관리 화면에 표시될 수 있는 보안 문제입니다. 공격자가 특수하게 만든 명령을 보내면 관리자 화면에서 자동으로 공격 코드가 실행될 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in Synology Disk Station 2.x before DSM3.0-1337 allow remote attackers to inject arbitrary web script or HTML by connecting to the FTP server and providing a crafted (1) USER or (2) PASS command, which is written by the FTP logging module to a web-interface log window, related to a "web commands injection" issue.
📍 영향받는 시스템
Synology Disk Station 2.x (DSM 3.0-1337 이전 버전)
⚔️ 공격 벡터
FTP 서버의 USER 또는 PASS 명령에 스크립트 태그나 HTML을 포함시켜 웹 로그 윈도우에 주입
🛡️ 대응 방법
DSM을 3.0-1337 이상으로 업그레이드하여 XSS 필터링 적용
🔧 검증 코드
productversion이 3.0-1337 이상이면 패치됨, 이하면 취약한 버전
cat /etc/VERSION 2>/dev/null | grep -i productversion