CVE-2024-10441 – Remote Code Execution in Synology-Produkten

Eine kritische Sicherheitslücke (CVE-2024-10441) wurde in mehreren Synology-NAS Produkten entdeckt. Die Schwachstelle beruht auf unzureichendem Encoding bzw. Escaping von Ausgaben im System-Plugin-Daemon, was es Angreifern ermöglicht, per Remote Code Execution beliebigen Code auszuführen. Betroffen sind Synology DiskStation Manager (DSM), Unified Controller (DSMUC) und BeeStation Manager (BSM) in älteren Versionen – beispielsweise DSM vor 7.2.2‑72806‑1, DSMUC vor 3.1.4‑23079 und BSM vor 1.1‑65374. Mit einem CVSS v3.1 Basis-Score von 9.8 ist diese Schwachstelle als kritisch einzustufen. Nutzer werden dringend aufgefordert, ihre Systeme auf die entsprechenden Fix-Versionen zu aktualisieren.

Tags :

Related Posts

LibreOffice CVE-2025-1080 – Macro URL Arbitrary Script Execution

Am 4. März 2025 wurde die kritische Sicherheitslücke CVE-2025-1080 in LibreOffice bekannt, die es ermöglicht, interne Makros mit beliebigen Argumenten auszuführen. Die Schwachstelle betrifft die Unterstützung von Office URI-Schemata, die zur Integration mit Microsoft SharePoint dienen. Durch das neu eingeführte Schema „vnd.libreoffice.command“ konnten Angreifer speziell präparierte Browser-Links erstellen, die beim Öffnen in LibreOffice die Ausführung von Makros auslösen.

Read More

MDM System Fleet DM behebt kritische SAML-Authentifizierungslücke

Fleet DM hat in den Versionen bis 4.64.1 eine kritische Schwachstelle in der SAML-Authentifizierung identifiziert und behoben. Durch eine unzureichende Validierung von SAML-Antworten konnten Angreifer speziell gestaltete Antworten einreichen, um Authentifizierungsaussagen zu fälschen. Dies ermöglicht nicht nur das Imitieren legitimer Benutzer, sondern auch – sofern Just-In-Time Provisioning aktiviert ist – das Anlegen administrativer Konten. Zudem können bei aktiviertem MDM Enrollment über bestimmte Endpunkte neue Konten erstellt werden, was den unautorisierten Zugriff auf Fleet-Systeme, inklusive administrativer Rechte und Einsicht in Gerätedaten, zur Folge haben kann.

Read More

PHP 8: HTTP-Wrapper Schwachstellen erlauben HTTP Request Smuggling

PHP ist aktuell von zwei moderaten Schwachstellen betroffen, die die Verarbeitung von HTTP-Headern und Redirect-URIs in den internen Stream-Wrappern beeinträchtigen. Beide Probleme wurden in Versionen vor 8.1.32, 8.2.28, 8.3.18 und 8.4.5 festgestellt und in den folgenden Versionen behoben.

Read More