BSI warnt vor kritischer DSM-Lücke: Synology liefert Patches

Das BSI-Notfallteam CERT-Bund hat eine kritische Schwachstelle im Synology-DSM eingestuft und warnt deutsche Betreiber gezielt vor Ausnutzung. Betroffen sind die DSM-Linien 7.2.2 und 7.3. Bei erfolgreicher Ausnutzung sind laut BSI Denial-of-Service, Zugriff auf sensible Daten und Rechteausweitung möglich. Synology hat Patches in DSM 7.2.2-72806-5 sowie 7.3.1-86003-1 ausgeliefert.

Wo die Lücke sitzt

Synology hält Details bewusst knapp, um aktive Ausnutzung nicht zu erleichtern. Bekannt ist, dass die Lücke in einer zentralen DSM-Komponente sitzt, die auf den meisten DiskStation- und RackStation-Modellen aktiv ist. Die BSI-Einstufung "kritisch" und die ausdrückliche Warnung deuten darauf hin, dass die Hürden für einen Angriff niedrig sind – sobald die Web-Oberfläche oder ein verwandter Dienst aus dem Netz erreichbar ist, ist Aufmerksamkeit geboten.

Heise und das BSI weisen ergänzend darauf hin, dass viele Synology-Geräte im Mittelstand direkt im Internet exponiert sind – häufig als Quick-Connect-Endpunkt oder mit Portweiterleitung für Drive- oder Photos-Anwendungen. Genau diese Setups sind besonders gefährdet, weil zwischen Internet und verwundbarer Komponente keine zusätzliche Schicht steht.

Was Admins jetzt tun sollten

1. DSM-Version prüfen: Update-Verlauf im Control Panel öffnen, Zielversionen 7.2.2-72806-5 oder 7.3.1-86003-1 einspielen.
2. Vor dem Update Hyper Backup laufen lassen – ein Routinepunkt, der bei NAS-Updates gerne vergessen wird.
3. QuickConnect und Portweiterleitungen kritisch prüfen: ist der Direktzugriff aus dem Internet wirklich nötig? Falls nicht, lieber VPN davorschalten.
4. Zugriffslogs der letzten 14 Tage auf ungewöhnliche Login-Versuche oder API-Aufrufe an exponierten DSM-Endpoints durchsehen.
5. Surveillance-Station- und Drive-Server-Pakete getrennt prüfen: bei größeren Sprüngen in der DSM-Version kommen die Paketversionen oft nicht automatisch mit.

Für Hosting-Partner und IT-Dienstleister mit Synology-Bestand ist das ein Anlass, das eigene NAS-Patch-SLA mit Endkunden zu schärfen. Wer noch ältere DSM-Linien fährt, sollte den Update-Plan auf 7.3.1 zumindest dokumentiert vorliegen haben.

Mehr aus dem NAS-Umfeld: News aus der Kategorie Synology / NAS

Quelle: BSI CERT-Bund Warnmeldung (zusammengefasst nach BleepingComputer)