Synology DiskStation DS925+: lỗ hổng làm lộ thông tin trong C2 Identity Plugin

Zero Day Initiative công bố advisory về lỗ hổng trong C2 Identity Plugin trên Synology DiskStation DS925+. Quản trị viên có thể xem advisory ZDI-26-1009 và thông báo bảo mật của Synology để kiểm tra hướng dẫn khắc phục.

Tổng quan và thông tin kỹ thuật

Lỗ hổng CVE-2025-14713 nằm trong C2 Identity Plugin và được mô tả là lỗi tiết lộ thông tin. Điểm CVSS là 6.5, với vector AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N.

Phạm vi ảnh hưởng

Hồ sơ xác định Synology DiskStation DS925+ và thành phần C2 Identity Plugin là đối tượng liên quan. Phiên bản bị ảnh hưởng và phiên bản đã vá chưa được nêu cụ thể; Synology đã phát hành bản cập nhật khắc phục.

Cơ chế và tác động

Lỗi bắt nguồn từ một hàm nguy hiểm bị lộ trong C2 Identity Plugin. Kẻ tấn công ở vị trí mạng lân cận có thể khai thác mà không cần xác thực để tiết lộ thông tin nhạy cảm, bao gồm thông tin xác thực được lưu trữ; điều này dẫn đến nguy cơ xâm phạm sâu hơn.

Kiểm tra hệ thống

1. Mở DSM, vào Control Panel > Update & Restore và kiểm tra trạng thái cập nhật. Nếu DSM báo có bản cập nhật, cập nhật theo hướng dẫn của Synology và đối chiếu thông báo bảo mật để xác nhận bản sửa lỗi.

   Sao chép lệnh

   Mở DSM, vào Control Panel > Update & Restore và kiểm tra trạng thái cập nhật

Khắc phục và giảm thiểu

1. Cài đặt bản cập nhật khắc phục theo hướng dẫn bảo mật chính thức của Synology: Synology Security Advisory.

2. Đối chiếu thông báo bảo mật chính thức để xác nhận bản sửa lỗi cho thiết bị.

Nguồn tham khảo

• Zero Day Initiative: ZDI-26-1009
• Synology Security Advisory: Synology_SA_25_18