🇰🇷 한글 설명
Synology DiskStation Manager(DSM)의 Upload API에서 파일 이름이나 경로를 외부에서 제어할 수 있는 취약점이 발견되었습니다. 인증된 원격 사용자가 임의의 파일을 생성하거나 시스템을 마비시키는 서비스 거부(DoS) 공격을 수행할 수 있습니다.
💡 쉬운 설명
해커가 권한을 가진 상태에서 파일 이름을 마음대로 조작하여 시스템의 중요한 위치에 파일을 심거나 서버를 멈추게 할 수 있는 문제입니다. 파일 업로드 기능을 악용하여 시스템을 망가뜨릴 수 있습니다.
🇺🇸 원문 (English)
An external control of file name or path vulnerability in Upload API in Synology DiskStation Manager (DSM) before 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 and 7.4-90075 allows remote authenticated users to write arbitrary files and conduct denial-of-service attacks.
📍 영향받는 시스템
Synology DSM 7.2.1-69057-12 미만, 7.2.2-72806-9 미만, 7.3.2-86009-4 미만, 7.4-90075 미만 버전
⚔️ 공격 벡터
인증된 원격 사용자가 Upload API를 통해 조작된 파일 경로를 전송하여 공격
🛡️ 대응 방법
DSM을 최신 보안 패치가 적용된 버전(7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4, 7.4-90075 이상)으로 업데이트
🔧 검증 코드
출력된 DSM 버전이 취약점이 해결된 패치 버전 이상인지 확인하십시오.
synogear --version 2>/dev/null || DSM_VERSION=$(curl -s http://localhost/webapi/entry.cgi?api=SYNO.API.Info&version=1&method=get_version | jq -r '.data.version')
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
Synology 제품 보안 업데이트 권고
P4
📅 2026-10-30 · sec_notice
Synology DSM 7.2.1~7.4 버전에 영향을 주는 취약점 4건(CVE-2026-13639, CVE-2026-13684, CVE-2026-13673, CVE-2026-6205)이 공개되어 보안 업데이트가 권고됩니다. 영향 받는 버전 사용자는 각 버전별 해결 버전(7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4, 7.4-90075 이상)으로 즉시 업데이트해야 합니다.