Eine Sicherheitsanfälligkeit mittleren Grades wurde im DiskStation Manager (DSM) von Synology aufgedeckt. Diese könnte von Angreifern ausgenutzt werden, um das Passwort eines Administrators zu entschlüsseln und das Konto aus der Ferne zu übernehmen.
Laut einem Bericht von Claroty’s Sharon Brizinov am Dienstag kann unter seltenen Umständen ein Angreifer genügend Informationen durchsickern lassen, um den Startwert des Pseudozufallsgenerators wiederherzustellen, das Admin-Passwort zu rekonstruieren und das Admin-Konto aus der Ferne zu übernehmen.
Die Schwachstelle trägt die Kennung CVE-2023-2729 und hat auf der CVSS-Bewertungsskala eine Schwere von 5,9. Synology hat dieses Problem im Rahmen von im Juni 2023 veröffentlichten Updates behoben.
Die Wurzel des Problems liegt in der Verwendung eines schwachen Zufallszahlengenerators durch die Software. Dieser stützt sich auf die JavaScript-Methode Math.random(), um das Admin-Passwort für das netzwerkgebundene Speichergerät (NAS) zu erstellen.
Solch unsichere Zufälligkeit kann entstehen, wenn eine Funktion, die vorhersehbare Werte erzeugt oder nicht genügend Entropie besitzt, in einem Sicherheitskontext als Zufallsquelle verwendet wird. Dies ermöglicht es Angreifern, die Verschlüsselung zu knacken und die Integrität vertraulicher Informationen und Systeme zu gefährden.
Ein erfolgreicher Angriff könnte einem Bedrohungsakteur ermöglichen, das generierte Passwort vorherzusagen und Zugriff auf sonst eingeschränkte Funktionen zu erhalten.
Brizinov erklärte, dass der Angriff jedoch von der erfolgreichen Extraktion einiger GUIDs abhängt, die ebenfalls während des Einrichtungsprozesses mit derselben Methode erstellt werden.
Zum Schluss betonte Brizinov die Bedeutung der Verwendung sicherer Zufallszahlen und empfahl, statt Math.random() die Web Crypto API zu verwenden.
