محققان امنیتی یک آسیب پذیری در اپلیکیشن Synology Photos پیدا کردند

اگر شما صاحب یک درایو Synology NAS هستید، باید دستگاه خود را هرچه سریع‌تر به‌روزرسانی کنید. طبق گزارش اولیه‌ای که توسط Wired منتشر شده، اخیراً گروهی از محققان امنیتی هلندی یک آسیب‌پذیری Zero-Click در برنامه Synology Photos شناسایی کرده‌اند. برای کسانی که با این نوع باگ‌ها آشنا نیستند، این باگ‌ها به هکرها امکان می‌دهند تا بدون نیاز به کلیک کردن کاربر، سیستم‌ها را به خطر بیندازند.

بدتر اینکه، این برنامه به صورت پیش‌فرض بر روی خط مصرف‌کننده دستگاه‌های ذخیره‌سازی شبکه Bee Synology نصب و فعال می‌باشد و همچنین بین کاربران سیستم‌های DiskStation این شرکت محبوبیت دارد. شرکت امنیت سایبری Midnight Blue، که این آسیب‌پذیری را کشف کرده، برآورد می‌کند که میلیون‌ها کاربر Synology ممکن است در معرض خطر باشند.

با این حال، علی‌رغم انتشار یک وصله امنیتی توسط این شرکت برای رفع مشکل، دستگاه‌های NAS Synology به صورت خودکار به‌روزرسانی‌ها را دانلود نمی‌کنند. کارلو مایجر، یکی از پژوهشگران، به Wired اظهار داشت: “یافتن [آسیب‌پذیری] به صورت مستقل کار ساده‌ای نیست. اما زمانی که پچ منتشر می‌شود، درک و ارتباط دادن نقاط به هم بسیار آسان‌تر است و شما می‌توانید پچ را مهندسی معکوس کنید”.

گزارش‌های Midnight Blue نشان می‌دهند که آسیب‌پذیری کلیک صفر در بخشی از برنامه Synology Photos وجود دارد که نیاز به احراز هویت ندارد. بنابراین، مهاجمان می‌توانند بدون نیاز به دور زدن هیچ دروازه‌ای، مستقیماً از طریق اینترنت از این باگ سوءاستفاده کنند و سپس دسترسی ریشه‌ای به دست آورده و کد مخربی را بر روی دستگاه آسیب‌دیده نصب کنند.

در چنین شرایطی، اقدامات مخربی که فردی می‌تواند انجام دهد بسیار گسترده است، به طوری که حتی امکان دارد دستگاه آلوده به بات‌نت تبدیل شود. اینکه یک گروه باج‌افزاری بتواند دستگاه‌های Synology را هدف قرار دهد، تنها یک فرضیه نیست. زیرا در ابتدای سال جاری، کاربران DiskStation گزارش داده‌اند که مورد حمله باج‌افزاری قرار گرفته‌اند.