Synology ha segnalato bug di sicurezza molto gravi in Netatalk

Synology , noto produttore di dispositivi NAS , ha lanciato l'allarme in relazione ad alcune vulnerabilità critiche che interessano Netatalk, un'implementazione open source di AFP (Apple Filing Protocol) che consente ai sistemi che eseguono *NIX/*BSD di agire come file server AppleShare (AFP) per i client macOS (ad esempio per accedere ai file memorizzati sui dispositivi NAS di Synology).

Le vulnerabilità sono diverse e permettono di ottenere dati sensibili ed eseguire codice malevolo tramite una versione compromessa di Synology DiskStation Manager (DSM) e Synology Router Manager (SRM).

Il team di sviluppo di Netatalk è intervenuta sui bug di sicurezza riscontrati nella versione 3.1.1 di marzo, ciononostante, secondo Synology, ci sarebbero ancora dei prodotti suscettibili a tali vulnerabilità, classificate rispettivamente con i codici CVE-2022-23121, CVE-2022-23125, CVE-2022-23122, CVE-2022-0194, tutte con classificazione di severità di 9,8/10.

A quanto pare, i problemi sarebbero stati risolti su DiskStation Manager (DSM) 7.1, mentre si resta in attesa di una patch per le versioni 7.0 e 6.2, nonché per il firmware VS 2.3 e SRM 1.2. Secondo le stime di Synology, potrebbero essere necessari circa 90 giorni prima di vedere l'arrivo delle patch.

I problemi con Netatalk non sono una novità, infatti anche QNAP, altro produttore di NAS, ha di recente invitato i propri clienti a disattivare il protocollo di servizio file AFP nei propri prodotti, in attesa che Netatalk risolva le criticità di sicurezza.

Secondo QNAP, il problema interessa diverse versioni del sistema operativo QTS e QuTS e QuTScloud, l'OS per NAS ottimizzato per il cloud prodotto dall'azienda di Taiwan.

Entrambe le aziende invitano gli utenti a tenere d'occhio la disponibilità di aggiornamenti e procedere all'update non appena possibile.