🇰🇷 한글 설명
Synology DiskStation Manager(DSM) 6.1.4-15217 이전 및 6.0.3-8754-6 이전 버전에서 synodsmnotify 유틸리티의 접근 제어 취약점입니다. 로컬 사용자가 -fn 옵션을 악용하여 임의의 웹 스크립트나 HTML 코드를 주입할 수 있으며, 이는 Stored XSS 공격으로 이어질 수 있습니다.
💡 쉬운 설명
Synology NAS의 알림 시스템에서 로컬 접근이 가능한 사용자가 악의적인 웹 코드를 심을 수 있는 결함입니다. 시스템 관리자 권한이 없어도 누군가 이 기능을 악용하면 다른 사용자에게 해로운 코드를 실행시킬 수 있습니다.
🇺🇸 원문 (English)
An improper access control vulnerability in synodsmnotify in Synology DiskStation Manager (DSM) before 6.1.4-15217 and before 6.0.3-8754-6 allows local users to inject arbitrary web script or HTML via the -fn option.
📍 영향받는 시스템
Synology DiskStation Manager (DSM) 6.0.3-8754-6 이전 및 6.1.4-15217 이전 버전
⚔️ 공격 벡터
로컬 시스템 접근 권한을 가진 사용자가 synodsmnotify 명령어에 -fn 옵션으로 악의적인 HTML/JavaScript 페이로드를 주입
🛡️ 대응 방법
Synology DiskStation Manager를 DSM 6.0.3-8754-6 또는 6.1.4-15217 이상으로 업데이트
🔧 검증 코드
productversion 항목에서 DSM 버전이 6.0.3-8754-6 이상(6.0계열) 또는 6.1.4-15217 이상(6.1계열)인지 확인하여 패치 여부 판단
cat /etc.defaults/synoinfo.conf 2>/dev/null | grep -E 'productversion|major|minor' || cat /proc/version