DS gegen Hacker absichern

[synfor]

Auf einer Folgeseite gab es das hier:

1600 - DEVCORE team targeting the Synology DiskStation DS418Play NAS
SUCCESS - The DEVCORE team used an elegant heap overflow to get arbitrary code execution on the Synology NAS. This earned him $20,000 and 2 points twowards Master of Pwn.

https://www.zerodayinitiative.com/b...o-live-from-toronto-schedule-and-live-results

Etwas weiter unten auf der Seite:

1400 - STARLabs targeting the Synology DiskStation DS418Play NAS
SUCCESS - The team from STARLabs used a race condition and an OOB Read to get a root shell on the device. They earned $20,000 and 2 points towards Master of Pwn.

 

[Ulfhednir]

Mal in dem Zusammenhang ein Hinweis auf die bekannten Sicherheitslücken und dem Status. Es wird hoffentlich nicht allzu lange dauern, dass der Heap Overflow bei Synology gelistet und gefixt wird.
https://www.synology.com/de-de/security/advisory

 

[blurrrr]

Der Link wurde doch schon mehr als 1x hier im Forum genannt... Davon ab: Irgendwelche Schwachstellen aufzudecken heisst noch LANGE nicht, dass diese auch "einfach so" ausnutzbar sind. Grundlegend ist immer zu unterscheiden, ob es sich um eine lokale oder remote Attacke handelt (das ist schon einer der wesentlichsten Punkte und hängt mitunter auch davon ab, was überhaupt nach aussen freigegeben ist (+ Unterscheidung zwischen LAN und/oder WAN)) und zusätzlich ist auch immer die Frage, ob es sich um einen authentifizierten Benutzer handeln muss (meist geht dann auch noch eine Rechte-Eskalation mit einher). Also einfach nur rumbrüllen von wegen "Oh Oh, SICHERHEITSLÜCKE!!!" ist irgendwie eher "naja"... Wirklich "richtig" kritisch sind primär die Dinge, welche sich remote und ohne Authentifizierung durchführen lassen. Allerdings muss man auch dort unterscheiden, ob sich so einfach nur ein Dienst wegballern lässt, oder ob man sich "wirklich" Zugang zum System verschaffen kann (ggf. inkl. weiterer Rechte-Eskalationen, usw.).

Nicht vergessen dabei, darf man ebenfalls die Umstände, dass es mitunter auch garnicht das NAS ist, welches das Problem aufweist... Die Clients sind meist wie vor die großen Baustellen... Allein die falsche Website besuchen reicht ja tendentiell schon aus und nun kann man hier soviel mit dem NAS rumlamentieren wie man will und auf die Sicherheitslücken verweisen, aber habt ihr euch mal die entsprechenden CVEs von "Windows" angeschaut? Da könnte man eher mal dezent im Kreis..... Dazu kommt dann die Tatsache, dass es eben NICHT die Syno ist, die da wild durchs Netz geistert, sondern der Client (mit all seinen Macken). Demnach sollte man sich wohl eher nicht primär um das NAS, sondern eher um den Client kümmern. Hängt dann aber wieder vom Hersteller ab und M$ ist jetzt auch nicht grade bekannt dafür, "sofort" zu reagieren... Normalerweise erst zum nächsten Patchday (1x/Monat)... wenn nicht sogar erst wesentlich später...

Zudem ist es auch noch immer ein Unterschied, ob eine Lücke überhaupt gemeldet wird, verzögert gemeldet wird, verzögert veröffentlicht wird (was i.d.R. der Fall ist, da man dem Hersteller meist Zeit einräumen will, die Lücke vor Veröffentlichung zu beseitigen), der Hersteller zeitnah reagiert, oder ob es schlichtweg nicht priorisiert wird (oder im schlimmsten Fall: dem Hersteller schlichtweg egal ist).

Insgesamt ein bunter Haufen von Hardware- und Software-Lücken (und nicht nur Betriebssysteme weisen Lücken auf...), am besten macht man einfach alles aus, stellt es in die Ecke und benutzt es am besten nie wieder...? Ich mein... was nutzt es die Haustür zu verrammeln, wenn die Fenster sich nicht schliessen lassen? (Fenster... ein Schelm wer da jetzt böses denkt ?)

EDIT: Was ich damit sagen wollte - falls das nicht klar geworden ist - es bringt "überhaupt nichts" sich auf irgendwelche bestimmten Sicherheitslücken zu fixieren (während im Hintergrund vermutlich noch etliche andere schlummern)... Heisser Stein... Tropfen Wasser... etc. Zudem sieht man auch nur, was bisher veröffentlicht wurde. Abhilfe schafft da eben eher ein vernünftiges Gesamtkonzept (unter Beachtung der o.g. "Gegebenheiten").

 

[Speicherriese]

Das habe ich ja schon in einem anderen Beitrag geschrieben. Werft das ganze M$ raus, und ihr habt schon mal viele "Fenster" und auch Türen geschlossen. ( Denn ihr und der Hersteller wird es niemals schaffen dieses seit Jahrzehnten bei Hackern hochbegehrte und auf der ganzen Welt verbreitete System Wasserdicht zu machen) Das NAS ist nur ein kleiner Teil der Schwachstelle. Angegriffen wird evtl. das NAS ( Da hier die begehrten Daten liegen), aber die eingentlichen Schwachstellen sitzen vor dem NAS.

 

[blurrrr]

Sorry, aber alles auf M$ zu schieben, ist eindeutig die "falsche" Haltung... ?

 

[NSFH]

Solange es Software gibt, die nur auf Windows läuft muss man sich keine Gedanken um andere Betriebssysteme machen!
Von daher sind solche Anmerkungen schlicht Bullshit!