Synology warnt: Kritische NAS-Lücken ermöglichen Datenklau
Der NAS-Hersteller Synology hat wichtige Sicherheitsupdates für sein NAS-Betriebssystem Diskstation Manager (DSM) veröffentlicht. Wie aus dem zugehörigen Security Advisory(öffnet im neuen Fenster) hervorgeht, können Angreifer an mehreren Sicherheitslücken ansetzen, um über das Netzwerk auf anfällige Systeme zuzugreifen und dort beliebige Daten zu lesen oder zu schreiben. Anwender sollten zeitnah die neuesten Updates einspielen, um ihre Daten zu schützen.
Die wohl gefährlichsten Lücken im Advisory sind CVE-2026-13684(öffnet im neuen Fenster) und CVE-2026-13639(öffnet im neuen Fenster). Beide erreichen einen CVSS-Wert von 9,8 und damit einen kritischen Schweregrad. Eine Lücke basiert auf einer fehlerhaften Kodierung oder Escaping-Behandlung von Ausgaben, die andere auf unzureichender Entropie in der Anmeldelogik.
Laut Synology sind Angreifer mit beiden Lücken in der Lage, aus der Ferne beliebige Dateien zu lesen oder zu schreiben sowie anfällige NAS-Geräte in einen DoS-Zustand (Denial of Service) zu versetzen. Eine vorherige Authentifizierung scheint dafür nicht erforderlich zu sein.
Sechs weitere Lücken für Datenklau
Neben den beiden kritischen Lücken listet Synology in seiner Meldung sechs weitere Schwachstellen auf. Diese ermöglichen ebenfalls unbefugte Lese- und Schreibzugriffe sowie DoS-Attacken. Die Hürden sind dabei aber größer, weil vorab eine Authentifizierung benötigt wird oder ein NAS-Nutzer einen vom Angreifer bereitgestellten Link anklicken muss.
Die CVSS-Werte fallen entsprechend geringer aus. Zwei Lücken erreichen mit Werten von 8,1 bis 8,8 immerhin noch hohe Schweregrade. Die übrigen vier Lücken erreichen mit CVSS-Werten zwischen 2,7 und 5,3 maximal mittelschwere Einstufungen.
Wer sein Synology-NAS vor unbefugten Zugriffen schützen will, sollte das DSM-Betriebssystem aktualisieren. Als geschützt gelten alle DSM-Versionen ab 7.4-90075(öffnet im neuen Fenster), 7.3.2-86009-4(öffnet im neuen Fenster), 7.2.2-72806-9(öffnet im neuen Fenster) sowie 7.2.1-69057-12(öffnet im neuen Fenster). Da diese Releases teilweise schon seit Juni verfügbar und damit mehrere Monate alt sind, dürften viele betroffene NAS-Geräte bereits entsprechend aktualisiert sein.
Wir öffnen unsere neue Community für weitere Mitglieder! Möchtest du in konstruktiver und respektvoller Atmosphäre mit anderen IT-Experten über deine Themen sprechen? Sei dabei und melde dich an!
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.