<轉貼>
群暉科技 Synology® 發布 DiskStation Manager 安全性更新，兩項已知的系統風險 (CVE-2013-6955 與 CVE-2013-6987) 可能造成 DSM 系統執行權限受到入侵。為防止惡意程式攻擊，DSM 版本更新已隨之發布。
遭受攻擊的 DiskStation 與 RackStation 可能出現以下徵兆：
資源監控中心偵測到異常滿載的 CPU 使用率：
資源監控中心顯示 CPU 資源被 dhcp.pid、minerd、synodns、PWNED、PWNEDb、PWNEDg、PWNEDm，或其他名為 PWNED 的處理程序佔據資源
不屬於Synology 的資料夾：
名為 startup 的共用資料夾被建立於系統中；或在 /root/PWNED 路徑下，出現不屬於 Synology 的資料夾
Web Station 自動導向非指定頁面：
Index.php 被導向至非指定頁面
不屬於 Synology 的 CGI 程式檔：
/usr/syno/synoman 路徑下出現無意義的檔案名稱
不屬於 Synology 的指令程式：
/usr/syno/etc/rc.d 路徑下出現如 S99p.sh 等，不屬於 Synology 的指令程式。
如果使用者察覺以上異常系統行為，建議按照以下步驟進行更新：
DSM 4.3 的 DiskStation 或 RackStation 使用者，請依照指示步驟，重新安裝 DSM 4.3-3827
DSM 4.0 的 DiskStation 或 RackStation 使用者，建議從 Synology 下載中心，重新安裝 DSM 4.0-2259 或更新版本
DSM 4.1 或 DSM 4.2 的 DiskStation 或 RackStation 使用者，建議從 Synology 下載中心，重新安裝 DSM 4.2-3243 或更新版本
未遭遇上述徵兆的使用者，建議可從 DSM > 控制台 > DSM 更新頁面，更新至上述版本，保障 DiskStation 免於惡意攻擊。
DSM 4.3-3827 release note
版本: 4.3-3827
(2014/2/14)
更新紀錄
此更新會修復系統，並移除系統因弱點 (CVE-2013-6955, CVE-2013-6987) 被植入的惡意軟體。
加強 SMB 2 檔案服務與使用 Mac OS X 10.9 進行檔案傳輸時的相容性。
修正 SFTP 服務啟用時會占用過多記憶體的問題。
需要安裝此更新才能繼續使用 QuickConnect 和推播通知服務。
於控制台自動更新功能不同步問題
手上一台 DS209 實際更新看看. DS209 最新版本是 DSM 4.2, 但於控制台顯示無更新的版本.
於 Synology 官網卻顯示有新版本可更新.
原廠對於舊機種仍提供 patch 程式, 但現階段必須以手動更新.(這在前面的文件有說明)
重要安全性更新是否第一時間通知?
之前就有不少網友提及 Synology DSM 安全性漏洞及更新一事, 但當初並沒有太去注意此事情的發展, 但剛才 google 了一下前面所提的安全性漏洞相關說明, 其中提到:
Synology has advised users to upgrade to the latest version of DiskStation Manager (DSM).
For Synology products released in 2008 (x08 series), DSM4.0-2259 has been released to address this issue.
For Synology products released after 2009, DSM4.2-3243 has been released to address this issue for DSM4.2 users. DSM4.3-3810 Update 1 has been released to address this issue for DSM4.3 users.
以 DS209 來說, 它已是舊機種, 最後更新只至 DSM 4.2, 但自動更新功能並不會更新至最新的版本, 這可能是官網更新資料庫維護上的問題, 但實際去官網 check release note, 可以發現實際上在去年時官方就推出 DSM 4.2-3243 修正的版本.
版本：4.2-3243
(2013/11/14)
修正問題
增強 CalDAV 與 iOS7 行事曆的相容性。
增強 DSM 的整體系統安全性。
不過上面僅寫著 "增強 DSM 的整體系統安全性。", 像這種安全性的漏洞, 官方應該在第一時間就通知用戶或是發出公告, 而不是僅寫 "增強安全性" 這樣的說明. 其實就像 Microsoft windows 更新一樣, 讓用戶很清楚那些是重要性更新, 而那些僅是功能性的功強, 這樣就不會造成用戶的不安了.
