Synology Download Station の cgi コンポーネントにおける権限管理の不備により、認証されたリモートユーザが、特定されていないベクトルを通じて任意のコードを実行できる脆弱性。

この脆弱性は、認証された攻撃者がSynology Download Stationサーバー上で任意のコードを実行することを可能にします。攻撃者は、この脆弱性を悪用して、機密情報を盗み出したり、システムを完全に制御したりする可能性があります。特に、Download Stationがインターネットに公開されている場合、攻撃のリスクは高まります。この脆弱性の悪用は、システム全体の停止やデータ損失につながる可能性があります。類似の脆弱性では、攻撃者がWebシェルを配置し、バックドアを作成して、後からシステムにアクセスすることが確認されています。

Organizations and individuals using Synology NAS devices with Download Station installed, particularly those running older versions (≤3.8.16-3566), are at significant risk. Shared hosting environments utilizing Synology NAS devices are also vulnerable, as are users with legacy configurations that haven't been regularly updated.

• linux / server:

journalctl -u synodownloadstation | grep -i "error"

• generic web:

curl -I http://<nas_ip>/webman/index.html | grep -i "synology"

1. 2021-06-18Disclosure

   disclosure

1. 予約済み2021-06-16
2. 公開日2021-06-18
3. 更新日2024-09-16
4. EPSS 更新日2026-04-02

この脆弱性への最も効果的な対策は、Synology Download Stationをバージョン3.8.16-3566以降にアップデートすることです。アップデートがすぐに利用できない場合は、Download Stationへの外部からのアクセスを制限するファイアウォールルールを設定するか、アクセス制御リスト（ACL）を使用して、信頼できるIPアドレスからのアクセスのみを許可するように構成してください。また、Synologyのセキュリティアドバイザリを定期的に確認し、最新のセキュリティ情報を入手するように心がけてください。