A files or directories accessible to external parties vulnerability in Synology SSL VPN Client before 1.4.5-0684 allows remote attackers to access files within the installation directory via a local H

Synology SSL VPN Client の CVE-2021-47960 は、リモート攻撃者がローカルループバックインターフェスにバインドされたローカル HTTP サーバー経由でインストールディレクトリ内のファイルにアクセスできるようにします。これは、作成された Web ページとのユーザーのやり取りを利用することで実現されます。潜在的に危険なファイルには、構成ファイル、証明書、ログが含まれており、機密情報の漏洩につながる可能性があります。この脆弱性の深刻度は CVSS スケールで 6.5 と評価されています。データ機密性が重要な環境では、このリスクを軽減するためにソフトウェアを更新することが重要です。更新を怠ると、認証情報または構成情報の抽出を目的とした標的型攻撃に対してネットワークがさらされる可能性があります。

Organizations utilizing Synology SSL VPN Client for remote access are at risk, particularly those with less stringent network security controls. Shared hosting environments where multiple users share the same server instance are also at increased risk, as a compromised user account could potentially be leveraged to exploit this vulnerability.

• linux / server:

journalctl -u synology-ssl-vpn-client | grep -i "error"

• linux / server:

lsof -i :8443 | grep synology-ssl-vpn-client

• generic web:

curl -I http://<vpn_client_ip>:8443/ | grep Server

1. 2026-04-10Disclosure

   disclosure

1. 予約済み2026-04-10
2. 公開日2026-04-10
3. EPSS 更新日2026-04-17

この脆弱性の解決策は、Synology SSL VPN Client をバージョン 1.4.5-0684 以降に更新することです。Synology は、この不正アクセス問題を修正するためにこの更新をリリースしました。特に本番環境では、できるだけ早く更新を適用することをお勧めします。さらに、ファイルアクセス制御やネットワークアクティビティ監視など、追加の保護対策が実装されていることを確認するために、ネットワークセキュリティポリシーを確認してください。互換性の問題やサービスの中断を避けるために、Synology が提供する手順に従って更新を実行する必要があります。最新の指示とダウンロードについては、Synology のサポートページを確認してください。