CVE-2024-10443

OS Command Injection w Synology BeePhotos i Synology Photos — RCE bez uwierzytelnienia

CVSS 9.8v3.1pub. 2024-11-15upd. 2025-09-16

Krytyczna podatność typu OS command injection w komponencie Task Manager aplikacji Synology BeePhotos oraz Synology Photos umożliwia zdalnym atakującym wykonanie dowolnego kodu bez konieczności uwierzytelnienia. Zagrożenie oceniono na CVSS 9.8, co wskazuje na bardzo wysokie ryzyko dla użytkowników podatnych wersji.

▸ Pokaż oryginał (EN)

Improper neutralization of special elements used in an OS command ('OS Command Injection') vulnerability in Task Manager component in Synology BeePhotos before 1.0.2-10026 and 1.1.0-10053 and Synology Photos before 1.6.2-0720 and 1.7.0-0795 allows remote attackers to execute arbitrary code via unspecified vectors.

🤖 Analiza AI

Jak działa

Podatność wynika z niewłaściwej neutralizacji znaków specjalnych w poleceniach systemu operacyjnego (CWE-78, CWE-77) w komponencie Task Manager. Atakujący może za pośrednictwem sieci, bez żadnego uwierzytelnienia i bez interakcji użytkownika, przesłać spreparowane dane wejściowe, które zostaną przekazane bezpośrednio do powłoki systemowej. W efekcie możliwe jest wykonanie dowolnych poleceń na poziomie systemu operacyjnego urządzenia.

Skutki

Atakujący może przejąć pełną kontrolę nad urządzeniem, uzyskując poufność, integralność i dostępność systemu — w tym możliwość odczytu i modyfikacji danych, instalacji złośliwego oprogramowania oraz zakłócenia działania usług.

Mitygacja

Należy niezwłocznie zaktualizować Synology BeePhotos do wersji 1.0.2-10026 lub 1.1.0-10053 (i nowszych) oraz Synology Photos do wersji 1.6.2-0720 lub 1.7.0-0795 (i nowszych). Szczegółowe informacje dostępne w biuletynach bezpieczeństwa producenta: Synology_SA_24_18 oraz Synology_SA_24_19.