Ha pasado un año desde el vacío en el almacenamiento de la red doméstica My Cloud de WD

Comic xkcd

Se descubrió una vulnerabilidad en el popular almacenamiento de red doméstica My Cloud de Western Digital (CVE-2018-17153), que permite que un atacante omita el mecanismo de autenticación y cree una sesión administrativa vinculada a su dirección IP.

La encuesta UPD muestra que casi cada cuarto lector de Habr está literalmente a poca distancia de un dispositivo vulnerable.

Remko Vermelen, un investigador de seguridad de la información, ha revelado todos los detalles de la vulnerabilidad en los populares dispositivos Western Digital My Cloud. El experto dio este paso cuando la empresa, después de varias apelaciones, no eliminó la brecha 15 meses después.

Vermelen informó al fabricante sobre el problema en abril de 2017, pero la compañía en algún momento, por un motivo desconocido, interrumpió los contactos con el investigador. Por lo general, los piratas informáticos "blancos" dan a las empresas 90 días para cerrar la vulnerabilidad descubierta, pero en nuestra historia la expectativa es claramente más estricta.



Para ingresar a la interfaz web del dispositivo, fue suficiente enviar una solicitud al script /cgi-bin/network_mgr.cgi , después de configurar la cookie "username = admin" , para que el sistema proporcione acceso administrativo sin pasar por la solicitud de contraseña. El siguiente paso es ejecutar la solicitud POST "cmd = cgi_get_ipv6 & flag = 1" , lo que conducirá a la generación de la clave de sesión y garantizará la continuación de la sesión con la capacidad de acceder a otros scripts con derechos de administrador. Un ataque exitoso le brinda un control completo sobre la configuración del dispositivo, así como la capacidad de leer, escribir y eliminar cualquier información almacenada en el dispositivo.


El experto escribe que el problema fue encontrado por él durante la ingeniería inversa de los archivos binarios CGI. Reprodujo la vulnerabilidad en el modelo My Cloud WDBCTL0020HWT con la versión de firmware 2.30.172, pero supone que la vulnerabilidad no se limita a este modelo, ya que todos los productos My Cloud parecen usar el mismo software vulnerable.

Se recomienda encarecidamente a los usuarios que restrinjan el acceso a la interfaz web de MyCloud a una lista de direcciones confiables, así como que desactiven la función de acceso desde las redes públicas (Configuración-> General-> Acceso a la nube). Fuera de la caja, el modo Dashboard Cloud Access está deshabilitado, pero también es posible un ataque desde la red local.

Por cierto, en Habré hay una revisión de My Cloud 2 tb .