Synology risolve un bug zero-day in BeeStation OS. 40.000 dollari ai ricercatori

Synology ha corretto una vulnerabilità zero-day nei suoi dispositivi BeeStation, dimostrata durante la recente competizione Pwn2Own. Il bug, identificato come CVE-2025-12686, rientra nella categoria “copia del buffer senza convalida delle dimensioni di input”, consentendo a un aggressore di eseguire codice arbitrario sul sistema di destinazione.

Il problema riguarda diverse versioni di BeeStation OS, il sistema operativo che gestisce i dispositivi di archiviazione di rete (NAS) Synology consumer e viene commercializzato come “cloud personale”. Una correzione è inclusa nell’aggiornamento di BeeStation OS per le versioni 1.3.2-65648 e successive. Non sono disponibili altre soluzioni temporanee, pertanto si consiglia agli utenti di installare immediatamente il firmware più recente.

La vulnerabilità è stata dimostrata dai ricercatori Tek e anyfun dell’azienda francese Synacktiv durante la competizione Pwn2Own Ireland 2025, che si è svolta il 21 ottobre. Il team ha ricevuto una ricompensa di 40.000 dollari per aver sfruttato con successo il bug.

L’ evento Pwn2Own riunisce ogni anno ricercatori di sicurezza informatica provenienti da tutto il mondo, offrendo loro l’opportunità di dimostrare come sfruttare le vulnerabilità zero-day nei dispositivi più diffusi. Alla competizione, tenutasi in Irlanda, i partecipanti hanno presentato 73 falle precedentemente sconosciute in vari prodotti, guadagnando oltre un milione di dollari.

Una settimana prima, anche un altro importante produttore di dispositivi NAS, QNAP , aveva rilasciato aggiornamenti che risolvevano sette vulnerabilità zero-day individuate nello stesso evento.

In conformità con l’accordo di divulgazione, ZDI si asterrà dal pubblicare dettagli tecnici fino al rilascio delle patch e alla scadenza del periodo di aggiornamento per gli utenti. Si prevede che descrizioni dettagliate delle vulnerabilità appariranno sul sito web dell’iniziativa e sui blog dei ricercatori nei prossimi mesi.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks