Especialistas en ciberseguridad reportan el hallazgo de dos vulnerabilidades críticas en Safe Access, la solución contra amenazas de seguridad en línea empleada por algunos enrutadores y sistemas NAS de la compañía tecnológica Synology. La explotación exitosa de estas vulnerabilidades permitiría a los actores de amenazas desplegar ataques XSS o ejecutar código arbitrario en los sistemas afectados.

A continuación se presentan breves descripciones de las fallas reportadas, además de sus respectivas claves de identificación y puntajes según el Common Vulnerability Scoring System (CVSS).

CVE-2020-27659: La vulnerabilidad existe debido a una desinfección insuficiente de los datos proporcionados por el usuario en el dominio o parámetro de perfil. Los actores de amenazas remotos podrían engañar a las víctimas para enviar enlaces especialmente diseñados y ejecutar código HTML y script arbitrario en el navegador del usuario objetivo.

La falla recibió un puntaje de 4.7/10 y su explotación permitiría a los actores de amenazas robar información, desplegar ataques de phishing e incluso modificar la apariencia de un sitio web atacado.   

CVE-2020-27660: La desinfección insuficiente de los datos proporcionados por el usuario a través del parámetro de dominio en request.cgi permitiría a los hackers remotos enviar solicitudes especialmente diseñadas para ejecutar comandos SQL arbitrarios en el sistema objetivo.   

La falla recibió un puntaje de 8.5/10 y su explotación exitosa permitiría a los actores de amenazas leer, eliminar y modificar los datos en una aplicación afectada.

Según los reportes, las fallas residen en todas las versiones de Safe Acces anteriores a v1.2.3-0234.

A pesar de que las fallas pueden ser explotadas por actores de amenazas remotos, los especialistas en ciberseguridad no han detectado intentos de explotación activa o la existencia de una variante de malware vinculada a este ataque.

Synology ya ha lanzado los parches de seguridad requeridos, por lo que se recomienda a los usuarios de instalaciones afectadas actualizar a la brevedad.