Synology ha segnalato bug di sicurezza molto gravi in Netatalk

Synology, noto produttore di dispositivi NAS, ha lanciato l'allarme in relazione ad alcune vulnerabilità critiche che interessano Netatalk, un'implementazione open source di AFP (Apple Filing Protocol) che consente ai sistemi che eseguono *NIX/*BSD di agire come file server AppleShare (AFP) per i client macOS (ad esempio per accedere ai file memorizzati sui dispositivi NAS di Synology).

Le vulnerabilità sono diverse e permettono di ottenere dati sensibili ed eseguire codice malevolo tramite una versione compromessa di Synology DiskStation Manager (DSM) e Synology Router Manager (SRM).

Il team di sviluppo di Netatalk è intervenuta sui bug di sicurezza riscontrati nella versione 3.1.1 di marzo, ciononostante, secondo Synology, ci sarebbero ancora dei prodotti suscettibili a tali vulnerabilità, classificate rispettivamente con i codici CVE-2022-23121, CVE-2022-23125, CVE-2022-23122, CVE-2022-0194, tutte con classificazione di severità di 9,8/10.

A quanto pare, i problemi sarebbero stati risolti su DiskStation Manager (DSM) 7.1, mentre si resta in attesa di una patch per le versioni 7.0 e 6.2, nonché per il firmware VS 2.3 e SRM 1.2. Secondo le stime di Synology, potrebbero essere necessari circa 90 giorni prima di vedere l'arrivo delle patch.

I problemi con Netatalk non sono una novità, infatti anche QNAP, altro produttore di NAS, ha di recente invitato i propri clienti a disattivare il protocollo di servizio file AFP nei propri prodotti, in attesa che Netatalk risolva le criticità di sicurezza.

Secondo QNAP, il problema interessa diverse versioni del sistema operativo QTS e QuTS e QuTScloud, l'OS per NAS ottimizzato per il cloud prodotto dall'azienda di Taiwan.

Entrambe le aziende invitano gli utenti a tenere d'occhio la disponibilità di aggiornamenti e procedere all'update non appena possibile.