🇰🇷 한글 설명
Synology DiskStation Manager의 smart.cgi에서 발견된 커맨드 인젝션 취약점으로, 인증된 원격 사용자가 disk 필드를 통해 임의의 명령을 실행할 수 있습니다. 5.2-5967-5 버전 이전의 모든 DSM이 영향을 받으며, CVSS 8.8의 높은 심각도를 지닙니다.
💡 쉬운 설명
Synology 저장소 관리 프로그램에서 입력값이 제대로 검증되지 않아, 로그인한 공격자가 악의적인 시스템 명령을 실행할 수 있습니다. 이를 통해 공격자는 저장소 전체에 접근하고 제어할 수 있습니다.
🇺🇸 원문 (English)
Command injection vulnerability in smart.cgi in Synology DiskStation Manager (DSM) before 5.2-5967-5 allows remote authenticated users to execute arbitrary commands via disk field.
📍 영향받는 시스템
Synology DiskStation Manager 5.2-5967-5 이전 모든 버전
⚔️ 공격 벡터
인증된 사용자가 smart.cgi의 disk 파라미터에 쉘 메타문자를 포함한 악의적 입력을 전송
🛡️ 대응 방법
DiskStation Manager를 최신 버전(5.2-5967-5 이상)으로 업데이트
🔧 검증 코드
출력된 productvers의 빌드 번호가 5967 이상이면 패치됨, 미만이면 취약함
ssh admin@<synology-ip> 'cat /etc/synoinfo.conf | grep productvers'