De VPN-software van routers van Synology is opnieuw kwetsbaar voor aanvallen van hackers. Synology deelde al een patch waarmee je de achterpoort opnieuw kan sluiten.
Het tocht bij Synology dit jaar. In januari moest de fabrikant al een nood-patch uitbrengen om een ernstige kwetsbaarheid in z’n routers te dichten en vandaag is het weer zo ver. Net als vijf maanden geleden is de VPN-software op de router de schuldige. Aanvallers kunnen vanop afstand via SQL-code injecteren om zo bestanden te manipuleren. Synology zelf bestempelt de kwetsbaarheid als gemiddeld, maar de Duitsers bestempelen het lek wel degelijk als kritiek met een CVSS-score van 9,1.
Snel updaten (als je kan)
Meer details over wat er precies achter het geopende achterpoortje schuilt, deelt Synology niet. Het is wel duidelijk dat alle versies van de Synology Router Manager kwetsbaar is. Gebruikers die SRM 1.3 draaien, kunnen per direct een patch voor de kwetsbare VPN Plus Server installeren. Met versie 1.4.6-0685 of hoger kan je opnieuw op twee oren slapen.
Draait je router nog SRM 1.2, dan is er reden tot ongerustheid. Synology heeft in dat geval nog geen patch voor de VPN Plus Server en deelt evenmin tactieken om aanvallen te mitigeren. De VPN Plus Server uitschakelen lijkt ons essentieel. Na een update naar SRM 1.3 kan je de patch wel installeren, dus dat is volgens ons een interessante piste.
Krachtige maar kwetsbare software
Synology wil met zijn routers bedrijven aanspreken en voorziet daarom toestellen met een erg overzichtelijk en krachtig besturingssysteem, uitgerust met geavanceerde capaciteiten. De ingebouwde VPN-server is daarbij een grote troef, in theorie althans. Met twee kritieke kwetsbaarheden op minder dan een half jaar tijd toont Synology dat je als IT-beheerder best kort op de bal speelt indien je de hard- en software van de fabrikant in een professionele omgeving wil gebruiken.