Faille DSM 4.3 : la dernière mise à jour de Synology ne suffirait pas toujours

Faille DSM 4.3 : la dernière mise à jour de Synology ne suffirait pas toujours

Vivement le DSM 5.0 en version finale

Avatar de l'auteur
Sébastien Gavois

Publié dans

Sciences et espace

12/02/2014 3 minutes
61

Faille DSM 4.3 : la dernière mise à jour de Synology ne suffirait pas toujours

Au début de l'année, une faille de sécurité sur le DSM 4.3 des NAS Synology avait été découverte, et rapidement colmatée. Mais les choses ne seraient finalement pas aussi simples et la dernière mise à jour 4.3-3810 Update 4 ne suffit pas toujours. Explications.

Synology DSM 4.3

 

Début janvier, le National Institute of Standards and Technology (NIST) publiait un bulletin de sécurité indiquant que les NAS Synology fonctionnant avec le DSM 4.3-3810 Update 3 étaient à la merci d'une faille de sécurité sur le Windows File Service (SMB). Elle permettait d'écrire, de modifier et de supprimer des fichiers à distance. Des pirates l'avaient alors exploitée afin de leur faire miner des Bitcoins, entre autres choses. Synology avait mis en place le DSM 4.3-3810 Update 4 afin de corriger ce problème, mais tout n'est pas si simple pour ceux qui étaient déjà touchés.

 

En effet, sur le forum du fabricant, plusieurs utilisateurs signalent un comportement étrange de leur NAS, même après l'avoir mis à jour. Dans certains cas, des processus (situés dans /PWNED) continueraient d'utiliser massivement le processeur mais sans forcément apparaître dans le moniteur de ressource. Notez au passage que ce dernier fonctionnerait parfois de manière étrange (reboot, arrêt, etc.). De plus, de nombreuses commandes Linux auraient disparu en cours de route : « ps », « top », « rm » et « ls » seraient introuvables par exemple.

 

Après avoir interrogé le support technique, un utilisateur répondant au pseudo de Gozem aurait obtenu une réponse de la part de Synology : « Nos développeurs confirment que cette faille a été corrigée lors de la précédente mise à jour critique. Votre Disk Station a été piraté avant cette mise à jour critique et cela continuera tant que vous ne réinstallez pas le DSM. Vous devrez réaliser un hard reset afin de réinstaller le DSM via l'Assistant Synology, et s'il vous plaît mettez-vous ensuite à jour vers la dernière version du DSM ».

 

Le constructeur détaille ici la démarche à suivre pour réaliser un hard reset. Notez que cela n'efface normalement pas les données présentes sur vos périphériques de stockage. De notre côté, nous avons évidemment contacté Synology pour avoir plus de précisions. De votre côté, n'hésitez pas à nous faire part de vos retours si vous êtes dans une de ces situations.

 

Merci Laurent ;)

Écrit par Sébastien Gavois

Tiens, en parlant de ça :

Sommaire de l'article

Introduction

Fermer

Commentaires (61)


papinse
Le 12/02/2014 à 14h 12

Bloqué en DSM 4.0 (DS408), je ne suis pas INpacté. <img data-src=" />


Commentaire_supprime
Le 12/02/2014 à 14h 13



les NAS Synology fonctionnant avec le DSM 4.3-3810 Update 3 étaient à la merci d’une faille de sécurité sur le Windows File Service (SMB). Elle permettait d’écrire, de modifier et de supprimer des fichiers à distance.





<img data-src=" /><img data-src=" /><img data-src=" /><img data-src=" /><img data-src=" />



A faire : bloquer les ports du protocole SMB sur ma box en rentrant du boulot.


sniperdc
Le 12/02/2014 à 14h 23







papinse a écrit :



Bloqué en DSM 4.0 (DS408), je ne suis pas INpacté. <img data-src=" />







Bloqué ?

Ton NAS n’a pas doit aux nouvelle MAJ ou tu as volontairement pas mis à jours?



KP2
Le 12/02/2014 à 14h 23

Pas etonnant, si le NAS est rootkité, c’est fini… il faut reinstaller completement.



La correctif a probablement bien colmaté la faille mais le rootkit en a ouvert beaucoup d’autres.


Bill2
Le 12/02/2014 à 14h 23

Euh, par défaut le SMB n’est pas ouvert si l’IP “externe” de la box, si ?



piwi82
Le 12/02/2014 à 14h 24







Commentaire_supprime a écrit :



<img data-src=" /><img data-src=" /><img data-src=" /><img data-src=" /><img data-src=" />



A faire : bloquer les ports du protocole SMB sur ma box en rentrant du boulot.







Ouvrir SMB sur le net c’est déjà une faille de sécurité.

Je ne vois pas qui pouvait être impacté par cette faille à part les inconscients qui ont configuré leur NAS en DMZ.



KP2
Le 12/02/2014 à 14h 25







Bill2 a écrit :



Euh, par défaut le SMB n’est pas ouvert si l’IP “externe” de la box, si ?







Non, il faut avoir configuré des redirections de ports specifiques pour que ca arrive…



Il faut vraiment etre fou pour exposer un partage SMB/CIFS sur le net <img data-src=" />



Commentaire_supprime
Le 12/02/2014 à 14h 28







piwi82 a écrit :



Ouvrir SMB sur le net c’est déjà une faille de sécurité.

Je ne vois pas qui pouvait être impacté par cette faille à part les inconscients qui ont configuré leur NAS en DMZ.







Au changement de box, j’en ai profité pour virer la DMZ, purement et simplement. Mon NAS est partiellement accessible avec un redirecteur, No-ip pour ne pas le nommer, car j’ai changé la redirection de la box au NAS, en éliminant la DMZ à l’occasion.



J’ai rien ouvert en WAN pour les partages NFS, mais je n’ai pas configuré la box pour les bloquer par défaut, à voir…



sniperdc
Le 12/02/2014 à 14h 31







KP2 a écrit :



Non, il faut avoir configuré des redirections de ports specifiques pour que ca arrive…



Il faut vraiment etre fou pour exposer un partage SMB/CIFS sur le net <img data-src=" />







Ou fainéant <img data-src=" />



Certaines fois utiliser le FTP peut être si rébarbatif pour certains dev’ <img data-src=" />



kantfredo
Le 12/02/2014 à 14h 33

C’est quoi le problème avec le DMZ ? c’est ce que j’ai fait vers mon NAS, tellement de port a ouvrir sinon qu’il y en a pour 2 heurs, (quand on arrive a trouver les bon port a rediriger…).


n1kod
Le 12/02/2014 à 14h 34

tu mets simplement a jour en update 4


NeoYoH
Le 12/02/2014 à 14h 39

Heureusement pour moi j’ai pas été toucher sur mon NAS, que j’avais mit à jour lors de votre première news. Après cela me semble normal, Syno bouche la faille, ils sont pas sensé corriger aussi les dégâts que cela a pu provoquer (enfin si en quelques sortes, mais ya tellement de cas différent…).



Le soucis après c’est que je n’ai aucune idée sur la diffusion de cette faille, je suis sur qu’il y a encore pas mal de NAS avec cette faille car non mit à jour…



Moi j’ai simplifier les choses, aucun accès extérieur, bloquer par ma box + pare feu, et je suis tranquille. Juste configurer un FTP au cas où, que je peux rapidement rendre accessible. Le reste du temps ça passe par un serveur dédié qui peut bien crash car je n’ai aucune donnée importante la dessus.



Pour ma part ça n’entache pas la qualité des NAS Syno, qui reste pour moi une référence en terme de qualité/ergonomie.


atomusk
Le 12/02/2014 à 14h 39







kantfredo a écrit :



C’est quoi le problème avec le DMZ ? c’est ce que j’ai fait vers mon NAS, tellement de port a ouvrir sinon qu’il y en a pour 2 heurs, (quand on arrive a trouver les bon port a rediriger…).







L’avantage d’ouvrir port à port, c’est que tu limite la “surface d’attaque”. mettre en DMZ augmente donc significativement la surface (exemple : te mettre à la merci d’une faille SMB <img data-src=" /> )



Mig6r
Le 12/02/2014 à 14h 40







kantfredo a écrit :



C’est quoi le problème avec le DMZ ? c’est ce que j’ai fait vers mon NAS, tellement de port a ouvrir sinon qu’il y en a pour 2 heurs, (quand on arrive a trouver les bon port a rediriger…).







Le problème avec DMZ c’est que tu as tout simplement déplacé le probleme de sécurité à gerer sur ton nas.

Si tu n’a pas activé le firewall sur ton syno tu as donc l’integralité de tes ports ouvert sur internet. c’est typiquement la pratique la plus risqué qu’il y est…

si en plus tu n’a pas activé le blocage d’ip automatique ca doit etre une belle foire sur ton syno <img data-src=" />



Serieux prendre autant de risques pour éviter de perdre 20 minutes à configurer tes ports…



Si tu voyais les logs de mon firewall tu prendrais peur en voyant le nombre d’attaques que j’ai en l’espace d’une minute…



kantfredo
Le 12/02/2014 à 14h 43







Mig6r a écrit :



Le problème avec DMZ c’est que tu as tout simplement déplacé le probleme de sécurité à gerer sur ton nas.

Si tu n’a pas activé le firewall sur ton syno tu as donc l’integralité de tes ports ouvert sur internet. c’est typiquement la pratique la plus risqué qu’il y est…

si en plus tu n’a pas activé le blocage d’ip automatique ca doit etre une belle foire sur ton syno <img data-src=" />



Serieux prendre autant de risques pour éviter de perdre 20 minutes à configurer tes ports…



Si tu voyais les logs de mon firewall tu prendrais peur en voyant le nombre d’attaques que j’ai en l’espace d’une minute…







Si, j’ai activé le blocage auto, j’en ai une 50 ene par jours environ d’IP bloqué. je les bloques pendant uen semaine a partir de 4 tentatives en moins de 5minutes.



Pour ce qui est du DMZ, je ne suis pas certains que la freebox soit plus sécurisé que le synology. ???



Mig6r
Le 12/02/2014 à 14h 45

Pourquoi as tu activé l’expiration des blocages ? Pour leur laisser 4 autres chances ? <img data-src=" />


Gab&
Le 12/02/2014 à 14h 49







kantfredo a écrit :



C’est quoi le problème avec le DMZ ? c’est ce que j’ai fait vers mon NAS, tellement de port a ouvrir sinon qu’il y en a pour 2 heurs, (quand on arrive a trouver les bon port a rediriger…).







Comme dit plus haut (grilled mais je m’en balance), la base de la sécurité est de n’exposer sur internet que les ports dont tu as besoin et idéalement en n’utilisant pas le numéro de port pas défaut.



Manger 50 attaques par jour et laisser venir, tu aimes le risque ^^ <img data-src=" />




mistigrite
Le 12/02/2014 à 14h 55







Gab& a écrit :



Manger 50 attaques par jour et laisser venir, tu aimes le risque ^^ <img data-src=" />





Ce n’est pas le nombre d’attaques qui peut poser un problème, c’est leur qualité. J’ai largement plus de 50 tentatives d’attaques sur mon dédié, sauf que je n’en ai rien à faire : ce sont des scripts kiddies qui ne risquent pas de faire quoi que ce soit.



Network
Le 12/02/2014 à 14h 56







Gab& a écrit :



Comme dit plus haut (grilled mais je m’en balance), la base de la sécurité est de n’exposer sur internet que les ports dont tu as besoin et idéalement en n’utilisant pas le numéro de port pas défaut.



Manger 50 attaques par jour et laisser venir, tu aimes le risque ^^ <img data-src=" />





Je dois avouer avoir la même pratique, mon nas est en DMZ (avec blocage d’IP automatique). Vu le nombre de services que j’utilise de l’extérieur et la qualité de l’interface de la livebox play, je n’ai jamais trouvé le courage de faire toutes mes redirections.



PS : y’a un moyen de sauvegarder sa config de livebox ?



kantfredo
Le 12/02/2014 à 14h 56







Mig6r a écrit :



Pourquoi as tu activé l’expiration des blocages ? Pour leur laisser 4 autres chances ? <img data-src=" />







Les IP étant dynamique, je ne voit pas bien l’intérêt de créer une BL qui va être monstrueuse au bout de quelques mois et qui va bloqué des gens qui n’ont rien a voir avec les attaques.



Gab&
Le 12/02/2014 à 14h 58







kantfredo a écrit :



Les IP étant dynamique, je ne voit pas bien l’intérêt de créer une BL qui va être monstrueuse au bout de quelques mois et qui va bloqué des gens qui n’ont rien a voir avec les attaques.







D’ailleurs, est-ce que quelqu’un sait comment bloquer * - {IP Française} ?



romualdT Abonné
Le 12/02/2014 à 15h 00

Moi j’ai ma box avec 2 ports ouverts (le https syno donc 5001, et openvpn donc 1194), le pare-feux du syno fait de même vers l’exterieur, et est même restreint aux deux IPs (fixes) à même de monter un VPN avec lui.



Ca a du me prendre 10 minutes à configurer.



La liste de blocage auto est vide depuis 3 ans…


spidy
Le 12/02/2014 à 15h 04







kantfredo a écrit :



Si, j’ai activé le blocage auto, j’en ai une 50 ene par jours environ d’IP bloqué. je les bloques pendant uen semaine a partir de 4 tentatives en moins de 5minutes.



Pour ce qui est du DMZ, je ne suis pas certains que la freebox soit plus sécurisé que le synology. ???





le parefeu du syno n’as pas beaucoup d’options et je ne sais pas trop comment il se comporte dans certains cas (réponse de ping wan, flood, etc)



après, si la mise en veille de ton Synoest activée, dès qu’un paquet arrive sur le parefeu du Syno, il démarre, alors que si c’est la freebox qui sert de parefeu et si le port n’est pas ouvert, le Syno reste en veille.



le mode DMZ est à utiliser en dernier recours, par exemple si la box bloque certains protocoles (GRE pour utiliser PPTP ou ESP pour IPSec) sans option type “passthrough”



Network
Le 12/02/2014 à 15h 08







romualdT a écrit :



Moi j’ai ma box avec 2 ports ouverts (le https syno donc 5001, et openvpn donc 1194), le pare-feux du syno fait de même vers l’exterieur, et est même restreint aux deux IPs (fixes) à même de monter un VPN avec lui.



Ca a du me prendre 10 minutes à configurer.



La liste de blocage auto est vide depuis 3 ans…







je me vois mal monter un vpn chaque fois que mon tel download un morceau qu’il n’a pas en local.



Après c’est sur que “Nater” 2 ports c’est pas tres long … même avec ma livebox pourrie <img data-src=" />



kikistan
Le 12/02/2014 à 15h 09

Perso … tout est derrière un firewall pfSense



Les services (y compris autre que Synology) sont accessibles uniquement via un reverse proxy :)



Il y a très peu de ports ouverts



C’est ce qu’il y a de plus secure à faire. Apres encore plus secure, c’est aucun accès internet au Syno. Que de l’interne !


piwi82
Le 12/02/2014 à 15h 09







Gab& a écrit :



D’ailleurs, est-ce que quelqu’un sait comment bloquer * - {IP Française} ?







En aoutant les plages fr.* que tu connais et dont la liste est disponible ici ftp://ftp.ripe.net/ripe/stats/membership/alloclist.txt



Selon les opérateurs désirés : fr.telecom, fr.sfr, fr.ldcomnet, fr.ncnumericable, fr.proxad, fr.freemobile, fr.grolier, …

Et au passage n’oubliez pas de bannir la Bibliothèque de France (fr.renater) qui se contrefout des fichiers robots.txt et qui aspire tout ce qu’elle peut sur toutes les IP françaises.

C’est un scandale et pourtant toute la presse (PCi inclus) s’en fout.



spidy
Le 12/02/2014 à 15h 12







Network a écrit :



Je dois avouer avoir la même pratique, mon nas est en DMZ (avec blocage d’IP automatique). Vu le nombre de services que j’utilise de l’extérieur et la qualité de l’interface de la livebox play, je n’ai jamais trouvé le courage de faire toutes mes redirections.



PS : y’a un moyen de sauvegarder sa config de livebox ?





typiquement l’exploitation de la faille décrite dans la news ne sera absolument pas bloquée par le blocage auto car il n’y a pas besoin d’être authentifié.



utilise au minimum le parefeu du Syno (en plus les règles sont pré-configurées en fonction du service, donc hyper simple à gérer)



Tim-timmy
Le 12/02/2014 à 15h 13







piwi82 a écrit :



Et au passage n’oubliez pas de bannir la Bibliothèque de France (fr.renater) qui se contrefout des fichiers robots.txt et qui aspire tout ce qu’elle peut sur toutes les IP françaises.

C’est un scandale et pourtant toute la presse (PCi inclus) s’en fout.









renater c’est un poil plus que la bdf, c’est juste une très grosse partie des unis, labos de france… suis curieux, jamais rien vu passer chez moi



ps: Les organismes membres du GIP RENATER sont : CNRS, CPU, CEA, INRIA, CNES, INRA, INSERM, ONERA, CIRAD, Irstea, IRD, BRGM, ainsi que le Ministère l’enseignement supérieur et de la Recherche et le ministère de l’Éducation Nationale.



romualdT Abonné
Le 12/02/2014 à 15h 14







Network a écrit :



je me vois mal monter un vpn chaque fois que mon tel download un morceau qu’il n’a pas en local.



Après c’est sur que “Nater” 2 ports c’est pas tres long … même avec ma livebox pourrie <img data-src=" />







Le tel passe par le port https qui lui est ouvert à toute ip, mais ceci dit c’est aussi 10 min pour créer un vpn pptp sur ton android si tu le souhaites.



atomusk
Le 12/02/2014 à 15h 16







kantfredo a écrit :



Si, j’ai activé le blocage auto, j’en ai une 50 ene par jours environ d’IP bloqué. je les bloques pendant uen semaine a partir de 4 tentatives en moins de 5minutes.







Le souci n’est pas tant la confiance, mais plus le nombre de ports qui sont pret à communiquer avec l’exterieur.



La Freebox a le moins de services possibles qui communiquent avec internet.



Ici tu ajoutes en DMZ un NAS qui s’attend à être dans un reseau privé =&gt; il a de nombreux services ouverts et qui répondent (typiquement SMB).



C’est de toute façon une mauvaise pratique de sécurité <img data-src=" />



Network
Le 12/02/2014 à 15h 16







spidy a écrit :



typiquement l’exploitation de la faille décrite dans la news ne sera absolument pas bloquée par le blocage auto car il n’y a pas besoin d’être authentifié.



utilise au minimum le parefeu du Syno (en plus les règles sont pré-configurées en fonction du service, donc hyper simple à gérer)





<img data-src=" />



spidy
Le 12/02/2014 à 15h 17







piwi82 a écrit :



En aoutant les plages fr.* que tu connais et dont la liste est disponible ici ftp://ftp.ripe.net/ripe/stats/membership/alloclist.txt



Selon les opérateurs désirés : fr.telecom, fr.sfr, fr.ldcomnet, fr.ncnumericable, fr.proxad, fr.freemobile, fr.grolier, …

Et au passage n’oubliez pas de bannir la Bibliothèque de France (fr.renater) qui se contrefout des fichiers robots.txt et qui aspire tout ce qu’elle peut sur toutes les IP françaises.

C’est un scandale et pourtant toute la presse (PCi inclus) s’en fout.





http://fr.wikipedia.org/wiki/R%C3%A9seau_national_de_t%C3%A9l%C3%A9communication…



c’est pas juste la BNF <img data-src=" />



edit : grilled ^^



Idiot Proof
Le 12/02/2014 à 15h 22

Plus on va vouloir d’applis user friendly (ménagère de + de 50ans compatible) dans nos NAS et plus le problème sera récurrent . <img data-src=" />


Gab&
Le 12/02/2014 à 15h 33







piwi82 a écrit :



En aoutant les plages fr.* que tu connais et dont la liste est disponible ici ftp://ftp.ripe.net/ripe/stats/membership/alloclist.txt



Selon les opérateurs désirés : fr.telecom, fr.sfr, fr.ldcomnet, fr.ncnumericable, fr.proxad, fr.freemobile, fr.grolier, …

Et au passage n’oubliez pas de bannir la Bibliothèque de France (fr.renater) qui se contrefout des fichiers robots.txt et qui aspire tout ce qu’elle peut sur toutes les IP françaises.

C’est un scandale et pourtant toute la presse (PCi inclus) s’en fout.







En ajoutant les plages où ? À la main dans le firewall ? J’aimerais mieux importer une liste…



freetomfr
Le 12/02/2014 à 15h 36

Et les gas il y a pas un package OpenVPN dans votre DSM? niveau sécurité ça serait quand même beaucoup mieux….



Le lien pour les fainéant :



http://www.synology.com/fr-fr/support/tutorials/459



http://www.synology.com/fr-fr/support/tutorials/592


spidy
Le 12/02/2014 à 15h 41







freetomfr a écrit :



Et les gas il y a pas un package OpenVPN dans votre DSM? niveau sécurité ça serait quand même beaucoup mieux….



Le lien pour les fainéant :



http://www.synology.com/fr-fr/support/tutorials/459



http://www.synology.com/fr-fr/support/tutorials/592





c’est ce que je fait, d’ailleurs seul le port pour openVPN est ouvert (d’ailleurs ce n’est pas celui par défaut)



romualdT Abonné
Le 12/02/2014 à 15h 43







spidy a écrit :



c’est ce que je fait, d’ailleurs seul le port pour openVPN est ouvert (d’ailleurs ce n’est pas celui par défaut)







Interressant, comment fais-tu pour changer le ports du serveurs ?



fmazoue
Le 12/02/2014 à 15h 44

Petite question toute bête :



Comment fait-on pour savoir si on a été infecté sur le NAS …



J’ai bien fais les maj du DSM mais si je comprend bien on peut être infecté encore là ?


spidy
Le 12/02/2014 à 15h 49







romualdT a écrit :



Intéressant, comment fais-tu pour changer le ports du serveurs ?





au niveau de la configuration de l’ouverture des port (au niveau de la box en général) il faut préciser un port externe et un port interne (+ l’ip interne du nas) donc en port externe je mets celui que je veux (10000 par exemple) et en port interne 1194 (port openvpn par défaut du nas)



il ne faut pas oublier de modifier le fichier de config des clients (ligne “remote”) aussi.



atomusk
Le 12/02/2014 à 16h 18







fmazoue a écrit :



Petite question toute bête :



Comment fait-on pour savoir si on a été infecté sur le NAS …



J’ai bien fais les maj du DSM mais si je comprend bien on peut être infecté encore là ?







Pour savoir c’est ici :http://www.pcinpact.com/news/85442-quand-nas-synology-minent-bitcoins-suite-a-fa…



Sinon si tu as la dernière version, tu ne devrait plus pouvoir être infecté. Le souci ici c’est que une fois infecté, la seule solution reste le hard reset de ton Syno…



piwi82
Le 12/02/2014 à 16h 19







spidy a écrit :



http://fr.wikipedia.org/wiki/R%C3%A9seau_national_de_t%C3%A9l%C3%A9communication…



c’est pas juste la BNF <img data-src=" />



edit : grilled ^^







Oui je ne l’ai pas précisé, mais ça s’adresse surtout aux initiés. Allez faire un scan du côté du l’allocation 194.199⁄16, et plus précisément des subnets 194.199.7⁄24 et 194.199.8⁄24.



La BNF n’éprouve aucune honte à employer ce genre de pratique car c’est parfaitement légal (le fichier robots.txt n’ayant aucune valeur légale) :





Ce non-respect du robots.txt n’entre pas en conflit avec la protection de la correspondance privée garantie par la loi, car toutes les données mises à la disposition sur l’Internet sont considérées comme publiées, qu’elles soient ou non filtrées par le robots.txt.



Source :http://www.bnf.fr/fr/outils/a.dl_web_capture_robot.html



Comme quoi la légalité n’a pas que du bon. Personnellement je trouve ça consternant.



KP2
Le 12/02/2014 à 16h 35







sniperdc a écrit :



Ou fainéant <img data-src=" />

Certaines fois utiliser le FTP peut être si rébarbatif pour certains dev’ <img data-src=" />







Autant utiliser la synchro de repertoire et exposer juste le 5001 en https… C’est fastoche et ca marche du tonnerre…







kantfredo a écrit :



C’est quoi le problème avec le DMZ ? c’est ce que j’ai fait vers mon NAS, tellement de port a ouvrir sinon qu’il y en a pour 2 heurs, (quand on arrive a trouver les bon port a rediriger…).







<img data-src=" />



fmazoue
Le 12/02/2014 à 16h 39







atomusk a écrit :



Pour savoir c’est ici :http://www.pcinpact.com/news/85442-quand-nas-synology-minent-bitcoins-suite-a-fa…



Sinon si tu as la dernière version, tu ne devrait plus pouvoir être infecté. Le souci ici c’est que une fois infecté, la seule solution reste le hard reset de ton Syno…







Le problème semble être le suivant :

“une utilisation CPU anormalement élevée sur leur NAS (100 % en permanence), la cause étant le processus « Minerd » qui exploite toutes les ressources disponibles” : mais du coup la maj du DSM a supprimer ce processus ou juste bloqué son installation ?



Du coup même après la maj le processus peut toujours tourner ? Est-il toujours visible ?



CryoGen
Le 12/02/2014 à 16h 40







piwi82 a écrit :



La BNF n’éprouve aucune honte à employer ce genre de pratique car c’est parfaitement légal (le fichier robots.txt n’ayant aucune valeur légale) :





Source :http://www.bnf.fr/fr/outils/a.dl_web_capture_robot.html



Comme quoi la légalité n’a pas que du bon. Personnellement je trouve ça consternant.







Tiens c’est marrant çà, et si on met une “page de connexion qui déconne” on peut les attaquer comme un certain bloggeur ? <img data-src=" />



atomusk
Le 12/02/2014 à 16h 46







fmazoue a écrit :



Le problème semble être le suivant :

“une utilisation CPU anormalement élevée sur leur NAS (100 % en permanence), la cause étant le processus « Minerd » qui exploite toutes les ressources disponibles” : mais du coup la maj du DSM a supprimer ce processus ou juste bloqué son installation ?



Du coup même après la maj le processus peut toujours tourner ? Est-il toujours visible ?







Comme indiqué sur la news : je t’encourage à aller voir les retours sur le forum :

http://forum.synology.com/enu/viewtopic.php?f=19&t=80857&sid=b071220992e…



(désolé je peux pas trop t’aider, vu que j’ai pas le souci perso <img data-src=" />)



atomusk
Le 12/02/2014 à 16h 49







CryoGen a écrit :



Tiens c’est marrant çà, et si on met une “page de connexion qui déconne” on peut les attaquer comme un certain bloggeur ? <img data-src=" />







Encore faudrait-il prouver que le robot a vu la page de connexion et qu’il a continué <img data-src=" />



Mais l’argument “vu que c’est sur internet c’est publié” … comment dire … “un certain bloggeur” aimerai bien que la loi soit aussi claire <img data-src=" />



BenGamin
Le 12/02/2014 à 17h 00

Sinon, comme j’ai pas mal d’utilisateur de syno dans le coin, question :





  • Vous avez des attaques en brut-force en ce moment ?



    Perso tout est fermé sauf le port 5001 pour un accès en https sur le syno (je l’utilise, donc c’est ouvert), les ports en SMTP et IMAPS pour le serveur mail. Je pense pas avoir de problèmes d’intrusion mais j’ai une 40aine d’IP bloqué chaque jour depuis 3-4 jours (blocage infini si 5 mauvais mot de passe en 3 minutes, suffit pour bloquer les bots), j’en avais eu aussi peu avant la découverte de la faille. Des infos la dessus ?



    ça me traumatise pas plus que ça, 4 mdp testé toute les 5 minutes, j’ai de la marge avant qu’il trouve sachant que la session admin est désactivé et vu le gueule de mdp mais c’est relou d’avoir sa boite mail surchargé par les avertissements (que je préfère garder en cas de problème).


mrpitou
Le 12/02/2014 à 17h 37

hello,

c’est moi qui ait envoyé l’info à la rédaction. les seuls ports ouverts chez moi étaient BitTorrent, le 5000 pour l’interface web, et le ssh sur un autre numéro que le 22.

La faille semble être soit sur l’interface web, soit sur des fichiers torrents vérolés …

pour se débarrasser du PB une maj du DSL doit résoudre les soucis mais il faut faire les manips signalées sur le forum syno pour être sûr.


atomusk
Le 12/02/2014 à 17h 42







mrpitou a écrit :



hello,

c’est moi qui ait envoyé l’info à la rédaction. les seuls ports ouverts chez moi étaient BitTorrent, le 5000 pour l’interface web, et le ssh sur un autre numéro que le 22.

La faille semble être soit sur l’interface web, soit sur des fichiers torrents vérolés …

pour se débarrasser du PB une maj du DSL doit résoudre les soucis mais il faut faire les manips signalées sur le forum syno pour être sûr.







<img data-src=" />



Jarodd Abonné
Le 12/02/2014 à 17h 53

Le DSM 5.0 arrive bientôt non ? Il ne règle pas le problème ?


romualdT Abonné
Le 12/02/2014 à 18h 02







spidy a écrit :



au niveau de la configuration de l’ouverture des port (au niveau de la box en général) il faut préciser un port externe et un port interne (+ l’ip interne du nas) donc en port externe je mets celui que je veux (10000 par exemple) et en port interne 1194 (port openvpn par défaut du nas)



il ne faut pas oublier de modifier le fichier de config des clients (ligne “remote”) aussi.









aah… j’espérais pouvoir changer le port par défaut du syno moi <img data-src=" />



vt-n
Le 12/02/2014 à 18h 46







romualdT a écrit :



aah… j’espérais pouvoir changer le port par défaut du syno moi <img data-src=" />







Ne pas oublier que les Syno sont sous Linux et que le compte root n’est pas verrouillé.



Active SSH (au moins temporairement) et tu pourras accéder à la ligne de commande via Putty ou Cygwin (si tu es sous Windows). Le mot de passe du compte root est le mot de passe du compte Admin (pense à sécuriser tout ça au passage).



A partir de là, tu fais ce que tu veux de la config de ton NAS.



Garde en tête que les produits Syno, bien qu’étant de bons produits sont conçus pour fonctionner via DSM. Donc, faut pas trop le bricoler au risque que DSM n’arrive plus à fonctionner.



panicstation
Le 12/02/2014 à 20h 00







romualdT a écrit :



aah… j’espérais pouvoir changer le port par défaut du syno moi <img data-src=" />







Ce que j’avais fait pour un backup entre 2 synos



Éditer le fichier /etc/ssh/sshd_config sur les deux serveurs 



  Enlever le dièse en début de la ligne Protocol 2




Éditer le fichier /etc/ssh/sshd_config sur server2 



  Enlever le dièse en début de la ligne PermitRootLogin et mettre no




On the source DS:

/etc/services

Edit: ssh 22/tcp to your wanted port

Edit: ssh 22/udp to your wanted port



/etc/ssh/sshd_config

Edit #Port 22 to the same port as above (Remove the “#”)



On the target DS:

/etc/services

Edit: ssh 22/tcp to your wanted port

Edit: ssh 22/udp to your wanted port



/etc/ssh/sshd_config

Edit #Port 22 to the same port as above (Remove the “#”)






spidy
Le 13/02/2014 à 08h 59







romualdT a écrit :



aah… j’espérais pouvoir changer le port par défaut du syno moi <img data-src=" />





quel est l’intérêt ?



Debian POUAAAAAAAAAAAhhhhhhh !!!!


neves
Le 13/02/2014 à 09h 19







Jarodd a écrit :



Le DSM 5.0 arrive bientôt non ? Il ne règle pas le problème ?







Le problème est déjà réglé, c’est à dire que la faille est déjà corrigée via l’update 4 du DSM 4.3-3810. Ici on parle des NAS qui ont été infectés avant l’application du patch. L’application du patch ne supprime pas le miner BTC et les possibles rootkits laissés auparavant.

Synology aurait peut être pu déployer un petit tool pour nettoyer tout ça, en même temps que l’update 4.



romualdT Abonné
Le 13/02/2014 à 09h 36







spidy a écrit :



quel est l’intérêt ?









Changer le port par défaut qui est connu de tous -&gt; plus de sécurisation.



Ils te donne déjà la possibilité de changer le port du https ou d’autre appli, du coup pour le vpn ca me paraitrai aussi bien d’implémenter cette option.

J’ai restreint le pare-feu du syno aux deux IP pour le vpn donc bon c’est pas non plus la fin du monde.



Enfin évidemment, le beurre, la cremiere toussa quoi…



spidy
Le 13/02/2014 à 09h 55







romualdT a écrit :



Changer le port par défaut qui est connu de tous -&gt; plus de sécurisation.



Ils te donne déjà la possibilité de changer le port du https ou d’autre appli, du coup pour le vpn ca me paraitrai aussi bien d’implémenter cette option.

J’ai restreint le pare-feu du syno aux deux IP pour le vpn donc bon c’est pas non plus la fin du monde.



Enfin évidemment, le beurre, la cremiere toussa quoi…





comme tu parle de l’accès vers l’extérieur, le fait d’avoir des règles de routage sur le routeur avec un port externe différent du port interne revient à ce que tu cherche.

après si le NAS est en DMZ ça n’est plus possible <img data-src=" />



kenshiro
Le 13/02/2014 à 10h 03

et merde, apparemment j’ai le souci, je sais ce que je vais faire ce soir


romualdT Abonné
Le 13/02/2014 à 10h 13







spidy a écrit :



comme tu parle de l’accès vers l’extérieur, le fait d’avoir des règles de routage sur le routeur avec un port externe différent du port interne revient à ce que tu cherche.

après si le NAS est en DMZ ça n’est plus possible <img data-src=" />









Oui exact vu comme ca “c’est pas faux”



neves
Le 13/02/2014 à 19h 50







Commentaire_supprime a écrit :



<img data-src=" /><img data-src=" /><img data-src=" /><img data-src=" /><img data-src=" />



A faire : bloquer les ports du protocole SMB sur ma box en rentrant du boulot.







Contrairement à ce qui est indiqué dans la news, la vulnérabilité ne s’exploite pas par le port SMB mais par l’interface Web du DSM. C’est donc lui que tu devrais plutôt bloquer :) (port 5000⁄5001 par défaut)



Il n’y a aucune référence à SMB dans les exploits de cette vulnérabilité, je ne sais pas d’où PCI sort cela.