資安院針對國內群暉NAS產品用戶示警，發現超過千臺設備存在已知漏洞未修補，如今有人公開漏洞利用方式導致風險升高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.nics.nat.gov.tw/latest_news/announcements/Latest_Announcement/6395c358-142e-4599-87a3-c863d729d38f/">國家資通安全研究院（資安院）在2月9日示警，指出臺灣有大量群暉NAS用戶仍缺乏設備安全更新的意識</a>，對於業者在一年多前公布與修補的漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-50629">CVE-2024-50629</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-50630">CVE-2024-50630</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-50631">CVE-2024-50631</a>，仍未處理因應，因此呼籲民眾與中小企業，請立即檢查群暉NAS系統版本並完成更新，避免設備成為駭客攻擊的目標。</p> <p>基本上，本次事件涉及的漏洞已於2024年陸續被研究人員發現，群暉亦在修補後於2025年3月公開揭露上述3個CVE漏洞。</p> <p>資安院之所以在此時特別發出警示，是因為近期已有資安研究人員實際驗證並公開相關漏洞的利用方式，駭客運用這些弱點的門檻明顯降低，高風險漏洞可遭串聯利用，可能對尚未修補的設備發動掃描與攻擊，因此，短期內風險態勢急遽升高。</p> <p>近期資安院也特別評估臺灣用戶曝險情形，他們觀察到，國內仍有超過一千臺相關設備尚未完成更新且暴露於網際網路上，風險持續存在。</p> <p>有哪些設備受影響？資安院指出，包括 Synology BeeStation、DiskStation 及 DSM 系統。由於這些產品廣泛應用於家庭多媒體儲存，以及中小企業、醫療與教育機構的檔案共享、資料備援及遠端存取服務，加上這類設備可能長時間連網，若未能及時更新修補，恐成駭客目標，呼籲民眾儘速處理。</p> <p>關於這項威脅情資的確認，我們也聯繫群暉，請他們提出說明。該公司表示，資安院公告的CVE皆為已在過去修正完畢的漏洞，在通知用戶方面，群暉各產品皆有專屬的發行資訊<span style="font-size: small; color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif;">，同時有</span>專門的<a href="https://www.synology.com/zh-tw/security/advisory">安全性諮詢頁面</a>，會揭示已修正完畢的漏洞；另外群暉也會反覆提醒使用者務必即時更新。</p> <p>對於是否有自動更新機制來避免用戶未及時更新？群暉表示，當前的DSM系統確實有自動更新機制，但部份用戶會有各自的考量而未必都會開啟此功能。同時，基於關閉自動更新會有一定程度的安全風險，因此2025年之後發行的機型， 群暉已移除了UI上關閉自動更新的選項，若使用者需關閉自動更新，必須手動在系統設定。</p> <p>群暉亦表示，他們已有追蹤到資安院此次公告，並強調資安防護有賴各方共同維護，不論是群暉、資安院，目標都在於共同提醒用戶重視安全更新，並確保設備已及時升級至修正版本。</p> <p>對於廠商公告修補漏洞後、用戶未及時更新的狀況，過去我們持續報導許多這類消息，像是Shadowserver基金會，或是多家資安情資業者經常示警，發現特定漏洞在全球各國的曝險的數量，以此呼籲用戶儘速處理因應。</p> <p>而去年底我們也報導<strong><a href="https://www.ithome.com.tw/news/172752">英國國家網路安全中心（NCSC）試辦主動通報服務</a></strong>，同樣是希望透過公開資訊與可觀察的外部行為，避免企業因未主動追蹤漏洞而暴露風險的狀況。如今我們首次看到資安院開始有這方面的行動，</p> <p>畢竟，廠商提供修補程式只是第一步，用戶端是否能落實更新，才是完成資安防禦的最後一哩路。</p> <p> </p> </div></div></div>
