BreeDrive son diferentes modelos de unidades de almacenamiento de Synology para almacenar archivos. Cuenta con un centro de copias de seguridad personal, el cual puedes utilizar en Windows, y desde INCIBE (el Instituto Nacional de Ciberseguridad) han informado hoy 22 de julio de varias vulnerabilidades que comprometen la seguridad al utilizar la herramienta de escritorio en el sistema operativo de Microsoft. Han sido detectadas por el investigador de seguridad Zhao Runzi.
Concretamente, son tres fallos y han recibido la calificación de gravedad alta. Es esencial actualizar, ya que son vulnerabilidades para las que ya hay solución. Simplemente tienes que actualizar BeeDrive a la versión 1.4.2-13960 o superior. Como vamos a explicarte, cada vulnerabilidad actúa de forma diferente.
Fallos en BeeDrive
Estas tres vulnerabilidades han sido registradas como CVE-2025-54158, CVE-2025-54159 y CVE-2025-54160. Las tres han sido calificadas como de severidad alta. Hay que tener en cuenta que, desde INCIBE, han indicado que no se están explotando activamente. Estos fallos afectan a todas las versiones de BeeDrive anteriores a 1.4.2-13960.
- El primer fallo, el registrado como CVE-2025-54158, consiste en la falta de autenticación para una función crítica de BeeDrive. En caso de que alguien lograra explotar esta vulnerabilidad, podría ejecutar código arbitrario. En a escala CVSS3 ha recibido una puntuación de 7.8.
- La segunda, la vulnerabilidad registrada como CVE-2025-54159, consiste en la falta de autorización en BeeDrive. Un atacante remoto podría llegar a eliminar ficheros de forma arbitraria si explotara este fallo. En la escala CVSS3 ha recibido una puntuación de 7.5.
- En cuanto a la última, la vulnerabilidad CVE-2025-54160, consiste en la limitación indebida de un nombre de ruta a un directorio restringido. En caso de explotación, un atacante local podría ejecutar código arbitrario. En la escala CVSS3 ha recibido una puntuación de 7.8.
Como ves, son tres fallos distintos, pero todos ellos permiten a un atacante ejecutar código de forma arbitraria. Podrían comprometer la seguridad de estos dispositivos, por lo que es clave corregir el problema y actuar lo antes posible al instalar los parches correspondientes. El identificador es INCIBE-2025-0403 y la importancia, en una escala de 5, ha sido calificada de 4, lo que significa que son de severidad alta.
Algo que hay que aclarar, es que las vulnerabilidades no residen en los dispositivos, que son las unidades de almacenamiento, sino exclusivamente en la aplicación de escritorio para Windows utilizada para gestionarlos. Los dispositivos, a nivel de hardware, son seguros; el problema proviene a nivel de software, lo que tienes instalado en el sistema.
Corrige el problema
En la web de Synology, puedes ver el boletín oficial SA-25:08 presentado el 22 de julio, donde confirman estas tres vulnerabilidades que hemos descrito y que afectan a BeeDrive. Allí, de cara a corregir el problema, la recomendación es clara: actualizar a la versión 1.4.2-13960 o cualquier superior que haya disponible. Te dejamos una captura de la web.
El estado en la web de Synology es calificado como de severidad importante, así como actualizado a resuelto, ya que tiene disponibles parches. Es por ello por lo que han hecho pública esta información.
| Identificador (CVE) | Riesgo Principal | Puntuación CVSS v3.1 | Vector de Ataque |
|---|---|---|---|
| CVE-2025-54158 | Ejecución de código arbitrario | 7.8 (Alto) | Remoto |
| CVE-2025-54159 | Eliminación de ficheros arbitraria | 7.5 (Alto) | Remoto |
| CVE-2025-54160 | Ejecución de código arbitrario | 7.8 (Alto) | Local |
Si un atacante ejecuta código arbitrario en un sistema, podría instalar software malicioso, bloquear archivos o tomar el control del equipo por completo. Incluso podría lanzar ataques ransomware o borrar copias de seguridad creadas. En caso de que obtenga privilegios de administrador, el problema puede derivar en un control total, incluso de forma remota. Esto supone robo de información, contraseñas y otros problemas que debes evitar siempre al instalar cualquier actualización de seguridad que haya disponible.