PiwiLAbruti

Apparemment oui @firlin : https://archive.synology.com/download/Package/PHP7.4/7.4.33-0122

Il s'agit d'un joli BotNet exploitant DSM. J'ai prévenu Synology qu'une faille DSM est activement exploitée. Quelles sont les modèles et versions de DSM de vos NAS @Gfr44240 et @GrosMatou ? Dans l'urgence : Supprimer les règles de redirection des ports tcp/5000 et tcp/5001 sur votre box (ou routeur), et ne jamais la recréer. Ajouter le réseau local IPv4 (utilisez 192.168.0.0/255.255.254.0 si vous ne le connaissez pas) et le réseau IPv6 fe80::/10 à la Liste des permissions (nommée "Liste des autorisations" dans l'aide officielle). Configurer le blocage automatique pour bloquer dès la première tentative échouée (Tentatives de connexion : 1 | Sous (minutes) : 527040). Concernant les alternatives sécurisées pour accéder à DSM à distance, il y a plusieurs solutions : Nom de domaine + Certificat + Proxy inversé (Synology fournit gratuitement divers noms de domaine et les certificats associés). Connexion à distance avec les paquets VPN Server ou Tailscale. Je vous invite, ainsi que ceux qui se manifesteraient ultérieurement sur ce sujet, à appliquer les recommandations de ce tutoriel : Il y a moyen de savoir si votre NAS sert de vecteur pour propager cette attaque, mais ça nécessite un accès SSH et des commandes barbares (tcpdump) pour le vérifier. Faites appel au support Synology si besoin.

Est-ce que certains ports du NAS sont exposés sur Internet ? Si oui, configurer le pare-feu du NAS pour n'autoriser que les connexions depuis le réseau local (autoriser 192.168.0.0/16 et bloquer tout le reste).

Même pas @Eric Plontz , les mises à jour de sécurité sont encore appliquées à DSM 7.3 jusqu'en octobre 2028 : https://kb.synology.com/fr-fr/WP/Software_Life_Cycle_Policy/2

Le DS213j peut être mis à jour manuellement jusqu'à DSM 7.1.1-42962 update 9 : https://www.synology.com/fr-fr/support/download/DS213j?version=7.1#system Le site de Synology ne présente que les mises à jour automatiques pour certains modèles.

Une baie n'a jamais été synonyme de silence. C'est sûr que mettre une boîte dans un boite va atténuer un peu le bruit, mais rien de transcendant. Et en plus de prendre de la place dans ton appartement, ça peu transformer les vibrations en résonance… ce qui ne sera pas mieux.

L'ouverture du port tcp/6281 est suffisante, c'est ce que j'ai fait pour les sauvegardes. Cependant, l'authentification dans la tâche de sauvegarde se fait via DSM (port tcp/5001 par défaut, ou tcp/443 via le proxy inversé).

On avait déjà eu le coup des périphériques USB non reconnus suite à une mise à jour de la branche 7.3, et qui empêchait surtout les communications avec les onduleurs. C'est surprenant que Synology ait refait la même bourde avec DSM 7.4… 🤦‍♂️

Une évolution arrivera (un jour) avec la méthode DNS-PERSIST-01 qui permettra d'émettre et de renouveler un certificat avec un enregistrement DNS TXT persistant. acme.sh est déjà prêt mais il va falloir attendre que les autorités de certification implémentent cette méthode dont la RFC est encore au stade de brouillon (draft). Dans les grandes lignes : # sudo docker exec <containerName> acme.sh --register-account --email <something>@<domain> # sudo docker exec <containerName> acme.sh --make-dns-persist-value --domain <domain> --dns-persist-wildcard # sudo docker exec <containerName> acme.sh --issue --domain <domain> --dns-persistPour l'instant, la dernière commande affiche systématiquement le message d'erreur Cannot get domain token entry <domain> for dns-persist-01.

DSM est installé sur une partition dédiée non-visible dans DSM. Tu peux la voir avec la commande suivante : sudo df -h

Je suppose que les 3 NAS utilisent des clés privées différentes @Mic13710 ?

Le test est rapide à faire et s'arrrête à la liste des registrars disponibles : Cloudflare AliDNS Azure DNS Duck DNS Gandi GoDaddy Huawei Cloud DNS Tencent Cloud DNS Mais il ne s'agit là que de la toute première publication de ce paquet qui va avoir besoin de mûrir pour être utilisable dans nos contrées. Je doute fort qu'il couvrira mes besoins : 1 certificat sur registrar OVH à déployer sur 3 NAS, 1 certificat sur chacun de ces 3 NAS à générer avec le paquet DNS Server et à déployer localement.

SynoCommunity a sorti un paquet pour la gestion des certificats Let's Encrypt via la méthode DNS-01 : https://synocommunity.com/package/dnsacme Je vais tester dès que j'aurais le temps.

Il te faut un plan B pour faire tourner cette VM sur un autre environnement. Tu ne peux pas jouer avec la comptabilité d'un association (même petite). Le DS716+ a 10 ans cette année, il faudrait peut-être envisager un upgrade et le conserver en backup.

Ce n'est pas inhabituel, Synology le fait depuis quelques années maintenant. Ça permet de conserver un NAS stable et fiable avec une version LTS de DSM qui apporte des correctifs de sécurité au-delà de la durée de support normale des autres versions. Tout cela se fait en mise à jour automatique. Synology laisse toutefois la possibilité aux plus aventureux de bénéficier des dernières fonctionnalités, mais à condition de faire la mise à jour manuellement.