网络附加存储设备（NAS）制造商Synology迅速修复了在Pwn2Own黑客活动中发现的两个关键零日漏洞，这些漏洞存在于Synology Photos和BeeStation的BeePhotos软件中，可允许远程攻击者获取root权限并执行代码。Synology在48小时内发布了补丁，并建议用户立即更新到最新版本，以避免潜在的网络安全风险。NAS设备因存储敏感信息且常暴露于互联网，成为网络犯罪分子攻击目标，因此及时更新安全补丁至关重要。

🤔Synology Photos和BeeStation的BeePhotos软件中存在两个关键零日漏洞（CVE-2024-10443），被命名为RISK:STATION，可被远程攻击者利用获取root权限并执行代码。

📅Synology在发现漏洞后48小时内发布了补丁程序，并建议用户尽快更新到最新版本，包括BeePhotos、Synology Photos等软件的最新版本。

⚠️NAS设备因存储敏感信息且常暴露于互联网，成为网络犯罪分子攻击目标，用户需及时更新安全补丁，避免遭受勒索软件等攻击。

🌍Midnight Blue安全研究员在多个国家和地区的网络中发现了暴露的Synology NAS设备，表明此类漏洞利用的风险较高。

⏳近年来，NAS设备成为勒索软件攻击的目标，如eCh0raix、DeadBolt和Checkmate等，攻击者利用漏洞窃取或加密数据并勒索赎金。

  网络附加存储设备（NAS）制造商群晖科技（Synology）迅速解决了在最近的 Pwn2Own 黑客活动中发现的两个关键零日漏洞。这两个漏洞被命名为RISK:STATION，代号为CVE-2024-10443，由Midnight Blue安全研究员Rick de Jager在Synology Photos和BeeStation的BeePhotos软件中发现。这些零点击漏洞在一台Synology BeeStation BST150-4T上进行了演示，允许远程攻击者通过root权限在易受攻击的、暴露在互联网上的NAS系统上执行代码。演示结束后，Synology 立即收到通知，并在 48 小时内发布了补丁程序以降低风险。午夜蓝 “强调，由于犯罪滥用的可能性很高，而且有数百万台设备可能受到影响，因此用户迫切需要应用这些更新。为了加强这种紧迫性，我们还发布了媒体公告，鼓励用户立即采取行动。群暉科技提供下列更新以保障系統安全：– BeePhotos for BeeStation OS 1.1： 更新至 1.1.0-10053 或更新版本– BeePhotos for BeeStation OS 1.0：更新至版本 1.0.2 或更新版本： 更新至版本 1.0.2-10026 或更新版本– Synology Photos 1.7 for DSM 7.2： 更新至版本 1.7.0-0795 或更新版本– Synology Photos 1.6 for DSM 7.2：更新至版本 1.6.2 或更高版本： 更新至 1.6.2-0720 或更新版本另一家著名的 NAS 供应商 QNAP 也在一周内发布了针对 Pwn2Own 上被利用的漏洞的补丁，特别是在其 SMB 服务和混合备份同步解决方案中。Synology 和 QNAP 都加快了修补程序的速度，尽管趋势科技的零日计划通常会给供应商分配 90 天的时间来进行全面披露。这种紧迫性反映了一个事实，即 NAS 设备通常被个人和组织用来存储敏感信息，而且经常暴露在互联网上供远程访问，因此成为网络犯罪分子的目标。攻击者经常利用弱密码和未修补的漏洞窃取或加密数据，然后向所有者勒索赎金。在2024年爱尔兰Pwn2Own大会上展示了Synology零时差的Midnight Blue安全研究人员告诉网络安全记者Kim Zetter，他们在美国和欧洲警察部门以及韩国、意大利和加拿大的关键基础设施承包商的网络中发现了暴露的Synology NAS设备。自2016年以来，eCh0raix (QNAPCrypt)等勒索软件就一直以这些系统为目标。近年来，攻击者越来越多地使用其他勒索软件类型（如 DeadBolt 和 Checkmate）以及各种漏洞来锁定暴露在互联网上的 NAS 设备并勒索赎金。