DSM 6.x und darunter Sicherheitslücke in DSM 6 und 7

[synfor]

Aber warum installiert sich sowas nicht von selbt, bzw. wird nicht zum Update angeboten?

weil das update über das Autoupdate in Wellen ausgeliefert wird um die Server nicht zu überlasten. Das steht übrigens auch jedesmal in den Releasenotes.

 

[curt]

Was genau hattest du wo heruntergeladen?

https://www.synology.com/de-de/support/download/DS218+?version=6.2#system
DSM_DS218+_25556.pat
Per Download Button
Das sind dann 263 MByte

Gehe ich über alle Downloads (... ich war hier noch nie auf der Suche),

https://archive.synology.com/download/Os/DSM/6.2.4-25556-5

scheint für 218+ dies der einzig vernünftige Treffer,
synology_apollolake_218+.pat , aber nur 54 MByte.

D.h. der Dicke Download Button bietet die Version ohne Updates an
https://archive.synology.com/download/Os/DSM/6.2.4-25556
Ist jetzt ein klitzekleines bisschen irreführend, aber ich bin nun schlauer...

 

[synfor]

Das Download-Zentrum ist da ein wenig verbesserungswürdig. Allerdings wenn du unten auf der Seite im Formular deine aktuelle und die Zielversion angibst, werden dir alle nötigen Schritte (bei älteren Versionen ist das Update auf die aktuelle Version nicht immer in einem Schritt möglich) gezeigt und die dazu passenden Downloadlinks angeboten.


Für DSM 6.2.4u5 musst du dort allerdings DSM 6.2.3 als aktuelles DSM eingeben.

 

[curt]

Für DSM 6.2.4u5 musst du dort allerdings DSM 6.2.3 als aktuelles DSM eingeben.

und genau das war der Punkt der mich gedanklich ausgehebelt hatte. Mir hatte in dem Moment auch die Zeit dafür gefehlt. Grauenhaft... bis zum nächsten Mal habe ich vermutlich wieder vergessen

 

[himitsu]

Für DSM 6.2 geht es damit aber nicht.
6.2.4-25556 als Startpunkt bietet ausschließlich 7er-Versionen als Ziel an, aber keine Zwischenupdates/Patches.

Und von 6.2.3-25426 aus bekomme ich rechts auch nur 6.2.4-25556, 7.0-41890 und 7.0.1-42218 angezeigt ... nichts zu den "Updates".

weil das update über das Autoupdate in Wellen ausgeliefert

Schon klar. Die Frage war ja mehr wegen Update 4.
Update 3 war drauf und DSM sagte es sei aktuell, obwohl Update 3 inzwischen einen Monat alt ist .... sooooo lange kann die Welle doch nicht dauern?

 

[Benares]

Geh halt links etwas weiter zurück, dann beschränke rechts auf 6.2.4-25556, dann hast du die ganze Latte

 

[himitsu]

Nja, wer weiß wo es hing.
Bzw. grad eben wird dort garnichts geladen,

aber "Alle Downloads" und dann selber in der Liste raussuchen, hatte ja auch funktioniert

 

[Synchrotron]

Mir wurde auch nichts angeboten.

Habe mir das 6.2.4. xxx Update 5 von der Synology Webseite geladen - der Link steht ganz rechts außen, völlig unscheinbar neben dem ganzen DSM 7 Zeugs. Die Liste ist nach Geräten sortiert. Runter geladen, per manueller Installation auf die DS: Läuft, keine Probleme.

Danke an die Mitforisten, die auf das Problem hier aufmerksam gemacht haben.

 

[Gulliver]

Hab die v5 auch aus der update-Übersicht gezogen und installiert. Die Checksum bekommt man dort leider nicht angezeigt.
Findet sich aber hier:

 

[tommytom79]

Hallo!

Ich habe eine DS218+ und ich habe noch immer die Version 6.2.4. Update 3 als aktuellste Version installiert. Laut DSM ist meine Firmware auf aktuellstem Stand. Das gibts doch nicht, dass das Ausrollen der Versionen solange dauert, oder? Denn eigentlich sollte ich ja zumindest schon mal das Update 4 zur Installation zur Verfügung bekommen.
Ich stelle mir daher die Frage, wie wichtig sind nun wirklich diese Updates, wenn es solange dauert, bis DSM sie automatisch vorschlägt? Anscheinend nicht, sonst würde es nicht solange dauern.
Man kann ja nicht von den Benutzern verlangen, dass sie täglich auf die Synology Homepage schauen, ob es eine neuere Version gibt, um diese dann manuell zu installieren? Das ist doch nicht benutzerfreundlich bzw. im Sinne des Erfinders.

 

[himitsu]

lies die vorhergehenden Antworten ... ist normal so und du kannst es auch manuell runterladen+installieren.

Man kann ja nicht von den Benutzern verlangen

Drum wurde es hier auch schnell genannt, wenn der Hersteller es nicht schafft.

 

[tommytom79]

Spricht aber ehrlich gesagt nicht für Synology

 

[himitsu]

die haben schnell den Fix geliefert ... da sind Andere schlimmer
aber ja, sicherheitsupdates schneller automatisch auszuliefern wäre mal was.

 

[tommytom79]

Was bringt schon das schnelle Fixen, wenn es kaum jemand weiß, dass es eine Sicherheitslücke gibt und in weiterer Folge schon ein Update dafür gibt. Das ist alles irgendwie widersprüchlich von Synology.

 

[Synchrotron]

Das hätte ich in der Tat auch anders erwartet. Ein gestaffelter Rollout ist sicher nicht das Mittel der Wahl, wenn es eine Lücke gibt.

Keine Ahnung, ob Synology aus der Überwachung sieht, welche DS überhaupt direkt aus dem Internet erreichbar sind, und nur diese adressiert. Kann das auch nicht checken, meine hängen hinter meinem VPN-Zugang.

 

[tproko]

Spricht aber ehrlich gesagt nicht für Synology

Gut möglich, aber wenn sich nicht viele Leute bei ihnen (direkt) beschweren, wird sich sowieso nix ändern (wer weiß ob Beschweren was bringt).
Bin jedenfalls bei dir, bei DSM7 warte ich sowieso noch auf den fix

 

[Gulliver]

Hmm, ich habe einen synology-account, da sind beide DS als 'online' ausgewiesen - Kontakt besteht also.
Die 720+ mit DSM 6.2 musste ich manuell von .3 auf .5 heben.
Die 220+ habe ich gestern platt gemacht und neu mit DSM 7 aufgesetzt. Dabei hat der webassistent sich die aktuelle Version geholt.
Synology gibt ja an, dass die updates regional ausgerollt werden. Somit scheinen wir in der Reihenfolge weiter hinten zu stehen. Kennt jmd die Priorisierungsliste? Gibts da vordefinierte Zeitfenster, welche Region wann dran ist?

Wäre natürlich sinnvoll, solche Sicherheitspatches zu veröffentlichten Schwachstellen mit höchster Priorität vor anderen updates überall auszurollen.

 

[himitsu]

Er meinte wohl, ob die DS von außen erreichbar ist, Protweiterleitungen im Router, direkt auf's NAS.

 

[Gulliver]

...um diese zu priorisieren? Hmm.
Wäre interessant, die Strategie von Synology zu kennen.

 

[himitsu]

Wie gesagt, selbst wenn, dann stimmt da was nicht. Bei mir war ja auch noch Update 2 drauf und wurde als "aktuell" angezeigt, womit also auch schon seit einem Monat Update 3, 4 und nun 5 fehlten.