Synology-Forum.nl
Firmware => Synology DSM 5.1 en eerder => Topic gestart door: frankb op 26 augustus 2014, 08:10:38
-
Zag er nog niets over hier, dus maar even melden:
diverse security updates volgens de release notes:
Fixed Issues
Upgraded OpenSSL to Version 1.0.1i to fix multiple security issues (CVE-2014-0224, CVE-2014-0221, CVE-2014-0195, CVE-2014-0198, CVE-2010-5298, and CVE-2014-3470).
Implemented fixes for Kerberos 5 to address multiple security issues that allow remote attackers to cause a denial of service (CVE-2012-1013, CVE-2014-4341, CVE-2014-4342, CVE-2014-4344).
Fixed an issue where files with ACL attributes could become inaccessible after being loaded in large batches when DiskStation acts as an NFS server.
Fixed an issue where the restore might not be successful when containing multiple subfolders in Time Backup.
Fixed an issue where DHCP server service does not map to the correct VLAN interface if the service started before VLAN is enabled.
Ik heb hem er gelijk opgezet, (1511+)
Geen problemen upgrade liep snel (ongeveer 4 minuten) en alles doet het weer.
-
Upgraded OpenSSL to Version 1.0.1i to fix multiple security issues (CVE-2014-0224, CVE-2014-0221, CVE-2014-0195, CVE-2014-0198, CVE-2010-5298, and CVE-2014-3470).
Ik snap hier niets van. Als ik naar de releasenotes van OpenSSL 1.01i (https://www.openssl.org/news/openssl-1.0.1-notes.html) kijk, staan deze kwetsbaarheden er juist niet bij. Die zijn al opgelost in de overgang 1.0.1g ––> 1.0.1h
Maar die update van OpenSSL is al op 5 juni uitgebracht en je zou verwachten dat die al in een vorige DSM update verwerkt is. OpenSSL 1.0.1i is 6 Augustus gereleased. En dat klopt beter met de tijdtabel van deze DSM update.
EDIT: Als ik naar de DSM 4493 Update 1 releasenotes (http://www.synology.com/nl-nl/releaseNote/model/DS212j) kijk, dan worden daar dezelfde kwetsbaarheden genoemd. Blijkbaar is iemand bij Synology aan het slapen geweest toen hij de releasenotes aan het samenstellen was. Nu mag ik hopen dat ze wel wakker waren bij het maken van de update zelf. :P
-
Ik wil niet zeggen dat ze dan zouden slapen. Het gebeurt wel vaker dat na een bug-fix erna dat op een andere wijze dan weer problemen geeft.
-
Is het niet zo dat update 4 ook alle fixes van update 1 t/m 3 bevat? Zodat je niet alle tussenliggende updates hoeft te installeren.
-
Klopt.
Ik herinstalleer DSM5 (de basis) wat vaker op m'n TESTDS.
Vervolgens ga je kijken in update en zie dan de laatste Update om te installeren.
-
OpenSSL is in elk geval wel goed geupdate:
OpenSSL> version
OpenSSL 1.0.1i-fips 6 Aug 2014
:P
-
Ik zit nog op update 3...
Is het veilig om naar update 4 te gaan, of moet ik eerst nog wachten of er problemen
bekend worden ?
-
Problemen met 3 of met 4?
-
Redenen genoeg om te updaten, zou ik zeggen, tenzij je NAS niet van buitenaf benaderbaar is. ::) dan zijn die andere fixes misschien wel handig.
Upgraded OpenSSL to Version 1.0.1i to fix multiple security issues (CVE-2014-0224, CVE-2014-0221, CVE-2014-0195, CVE-2014-0198, CVE-2010-5298, and CVE-2014-3470).
Implemented fixes for Kerberos 5 to address multiple security issues that allow remote attackers to cause a denial of service (CVE-2012-1013, CVE-2014-4341, CVE-2014-4342, CVE-2014-4344).
-
@Birdy: Behalve dan dat het is:
Upgraded OpenSSL to Version 1.0.1i to fix multiple security issues (CVE-2014-3505, CVE-2014-3506, CVE-2014-3507, CVE-2014-3508, CVE-2014-3509, CVE-2014-3510, CVE-2014-3511, CVE-2014-3512, and CVE-2014-5139)…
Synology heeft de foute releasenotes intussen aangepast. Maar ik had eerder al aangegeven dat ze niet konden kloppen :lol:
OpenSSL wordt overal gebruikt waar certificaten in het spel zijn. Dus hoe klein de bugs ook waren, met de publicatie van de releasenotes door OpenSSL, kunnen kwaadwillenden er doorheen lopen om te kijken of ze iets echt kunnen misbruiken. Dus altijd upgraden.
-
Ik was onlangs vlak voor die aanval, op jullie aanraden gelukkig net overgestapt van 4.3 naar 5.0...
Nogmaals dank daarvoor...ik heb nergens last van gehad :-)
Kan ik dit soort updates altijd gewoon direct installeren, of is het altijd beter een paar
dagen te wachten totdat specialisten zoals jullie het eerst bekeken hebben :-)
-
Problemen met 3 of met 4?
Ja, was misschien gekke vraag van mij...het gaat hier natuurlijk niet om een Beta versie o.i.d.
-
4.3 naar 5.0 is een grote update met veel features. Daar kunnen bugs in zitten. Deze kleine updates bevatten geen nieuwe features, alleen bugfixes. En zeker met gepatchte kwetsbaarheden kun je zo iets niet overslaan.
-
Ik zeg, DOEN.
-
Ik zeg, DOEN.
Dat wilde ik horen...Thanx !!!
:-)
edit:
Done :-)
-
Kreeg vandaag pas het mailtje van Synology dat die update er is 5.0-4493 Update 4 :lol:
-
Ja ik ook. Per flessenpost denk ik
-
Nee, met Glasvezel-utp-post (lekker snel) :lol:
-
Als ik de helpfile goed begrijp, komt dat mailtje als de .pat file gedownload wordt. Als je dus met de hand de update button activeert, komt die melding als mosterd na de maaltijd. Als je de update niet handmatig start, wacht de nas blijkbaar tot de server weer rustig is. Maar zoveel geduld heb ik nooit gehad. ;)
Maar klopt het dat, na het mailtje, de update al gedownload klaar stond?
-
26 Augustus stond die update melding al in DSM, gelijk geïnstalleerd (dus niet handmatig).
-
Ik heb net ook dat mailtje van Synology zelf gekregen. Ik dacht eerst even dat je toch de mail melding van de nas zelf bedoelde.
Deze update bevat een paar security fixes die ze blijkbaar belangrijk vinden zodat ze een opvolger van iets als de Synolocker willen voorkomen. ;)