Synology corrige dos fallos de seguridad en DSM que exponían archivos en sus NAS

El fabricante de soluciones de almacenamiento en red Synology ha lanzado actualizaciones para su sistema operativo DiskStation Manager (DSM) destinadas a subsanar dos vulnerabilidades que afectaban a diversas versiones de sus productos. Los fallos permitían que atacantes remotos interactuasen de forma ilegítima con el sistema de archivos del dispositivo o provocasen interrupciones en el servicio.

La primera de estas debilidades presenta una puntuación base CVSS3 de 9,8 sobre 10, lo que la cataloga como crítica según la escala mencionada por el medio PC Gamer a partir de avisos del sector. De acuerdo con la explicación de Synology traducida de las fuentes, se trata de una neutralización inadecuada de elementos especiales en comandos SQL dentro de la interfaz de programación Auth API de DSM. Esta deficiencia permite a atacantes remotos leer o escribir archivos arbitrarios sin autorización previa, además de desencadenar ataques de denegación de servicio.

El segundo problema detectado alcanza una puntuación CVSS3 de 8,6. En este caso, la compañía describe la vulnerabilidad como una omisión de autenticación a través de una ruta o canal alternativo en la utilidad rsync integrada en DSM. Este defecto abre la puerta a esquivar el inicio de sesión ordinario, exponiendo nuevamente el almacenamiento a lecturas y escrituras no deseadas, así como a incidentes DoS.

Comprobación de actualizaciones en unidades NAS

Estas correcciones llegan poco después de que Synology advirtiese a finales del mes anterior sobre campañas de ransomware vinculadas a un aviso de seguridad previo publicado en 2024. Aunque la distribución de los parches recientes ya se ha iniciado de forma escalonada para buena parte de los usuarios, la propia naturaleza de los sistemas de actualización automática aconseja verificar de manera manual el estado del software.

Dado el alcance crítico de los fallos, se recomienda a quienes dispongan de un NAS de la marca revisar que sus equipos no tengan pendientes compilaciones recientes de DSM, garantizando así que tanto los mecanismos de sincronización como las interfaces de acceso cuenten con las mitigaciones oficiales desplegadas.