시놀로지 일부 제품군에 OpenSSL 취약점이 발견되었다.
문제가 된 제품은 최근 런칭된 DMS 7.0을 포함해 DSM 6.2, DSM UC, SkyNAS 및 VPN Plus Server, VPN Server 등이 대상이며, 이중 DSM 7.0과 VPN Plus Server는 중요도가 '중요(Important)'로, 그 외 제품은 '보통(Moderate)'으로 분류된다.
중요로 분류된 취약점(CVE-2021-3711)은 SM2 암호화 알고리즘의 힙 기반 버퍼 오버플로우 악용해 원격 코드 실행이 가능하며, 보통으로 분류된 취약점(CVE-2021-3712)은 ASN.1 문자열 처리 중 읽기 버퍼 오버런을 통해 DoS 공격 및 개인 정보 탈취 등에 악용될 수 있다.
OpenSSL 개발팀은 문제가된 OpenSSL 1.1.1k 버전의 취약점을 패치한 OpenSSL 1.1.1l 버전을 8월 24일부터 배포에 나섰다.
한편, 시놀로지는 이번 취약점 관련 발표에서 구체적인 패치 계획을 언급하지 않았지만, 해당 소식을 전한 bleepingcomputer와의 피드백을 통해 90일 내에 패치를 제공할 예정이라는 내용을 알려왔다. 시놀로지 제품군의 OpenSSL 관련 취약점 관련 발표 내용은 시놀로지 보안 홈페이지서 확인할 수 있다. |
