NVD Vulnerability Detail

CVE-2013-6955

Summary	webman/imageSelector.cgi in Synology DiskStation Manager (DSM) 4.0 before 4.0-2259, 4.2 before 4.2-3243, and 4.3 before 4.3-3810 Update 1 allows remote attackers to append data to arbitrary files, and consequently execute arbitrary code, via a pathname in the SLICEUPLOAD X-TMP-FILE HTTP header.
Publication Date	Jan. 10, 2014, 3:07 a.m.
Registration Date	Jan. 26, 2021, 3:48 p.m.
Last Update	Nov. 21, 2024, 11 a.m.

Affected software configurations

Configuration1	or higher	or less	more than	less than
cpe:2.3:a:synology:diskstation_manager:4.3-3810:::::::*
cpe:2.3:a:synology:diskstation_manager:4.2:::::::*
cpe:2.3:a:synology:diskstation_manager:4.0:::::::*
cpe:2.3:a:synology:diskstation_manager:4.3:::::::*

Related information, measures and tools

No	URL	refsource	タグ
1	http://www.kb.cert.org/vuls/id/615910		US Government Resource
2	http://www.kb.cert.org/vuls/id/615910		US Government Resource

Common Vulnerabilities List

No	CWE	Name	URL
1	CWE-264	認可・権限・アクセス制御	https://cwe.mitre.org/data/definitions/264.html

JVN Vulnerability Information

Synology DiskStation Manager にアクセス制御不備の脆弱性

Title	Synology DiskStation Manager にアクセス制御不備の脆弱性
Summary	Synology が提供する DiskStation Manager には、HTTP リクエストの処理に問題があり、アクセス制御不備の脆弱性が存在します。本脆弱性を使用した攻撃が観測されています。また、本脆弱性を使用した攻撃コードも公開されています。
Possible impacts	遠隔の第三者によって、root 権限でシステム上のファイルに追加書き込みされる可能性があります。結果として、任意のコードを実行される可能性があります。
Solution	[アップデートする] Synology が提供する情報をもとに最新版へアップデートしてください。なお、次に挙げるバージョンでは、本脆弱性が修正されています。　* DSM4.0-2259 　* DSM4.2-3243 　* DSM4.3-3810 Update 1
Publication Date	Jan. 7, 2014, midnight
Registration Date	Jan. 9, 2014, 11:59 a.m.
Last Update	March 7, 2014, 6:15 p.m.

Affected System

Synology Inc.

DiskStation Manager version 4.3-3776-3 およびそれ以前

CVE (情報セキュリティ共通脆弱性識別子)

No	Name	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2013-6955	https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-6955
National Vulnerability Database (NVD)
2	CVE-2013-6955	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-6955

CWE (共通脆弱性タイプ一覧)

No	Name	URL
JVNDB
1	CWE-264	https://jvndb.jvn.jp/ja/cwe/CWE-264.html

ベンダー情報

No	Name	URL
Synology
1	DiskStation Manager	http://www.synology.com/ja-jp/dsm/index
2	ダウンロードセンター	http://www.synology.com/ja-jp/support/download

その他

No	Name	URL
@Police
1	脆弱性が存在するNASの探索と考えられる宛先ポート5000/TCPに対するアクセスの急増について (PDF)	http://www.npa.go.jp/cyberpolice/detect/pdf/20140305.pdf
JVN
2	JVNVU#95919136	http://jvn.jp/cert/JVNVU95919136
US-CERT Vulnerability Note
3	VU#615910	https://www.kb.cert.org/vuls/id/615910

Change Log

No	Changed Details	Date of change
0	[2014年01月09日] 掲載 [2014年01月15日] CWE による脆弱性タイプ一覧：CWE-ID を追加参考情報：National Vulnerability Database (NVD) (CVE-2013-6955) を追加 [2014年03月07日] 概要：内容を更新参考情報：@Police (脆弱性が存在するNASの探索と考えられる宛先ポート5000/TCPに対するアクセスの急増について (PDF)) を追加	Feb. 17, 2018, 10:37 a.m.