Faz um ano desde o buraco no armazenamento de rede doméstica My Cloud da WD

Quadrinhos xkcd

Uma vulnerabilidade foi descoberta nos armazenamentos populares da rede doméstica My Cloud da Western Digital (CVE-2018-17153), permitindo que um invasor ignore o mecanismo de autenticação e crie uma sessão administrativa vinculada ao seu endereço IP.

A pesquisa da UPD mostra que quase todos os quartos leitores Habr estão literalmente a uma curta distância de um dispositivo vulnerável.

Remko Vermelen, pesquisador de segurança da informação, revelou todos os detalhes da vulnerabilidade nos populares dispositivos Western Digital My Cloud. O especialista deu esse passo quando a empresa, após vários recursos, não eliminou a lacuna 15 meses depois.

Vermelen informou o fabricante sobre o problema em abril de 2017, mas a empresa, em algum momento, por um motivo desconhecido, interrompeu os contatos com o pesquisador. Geralmente, hackers "brancos" dão às empresas 90 dias para fechar a vulnerabilidade descoberta, mas em nossa história a expectativa é claramente mais rígida.



Para entrar na interface da web do dispositivo, basta enviar uma solicitação para o script /cgi-bin/network_mgr.cgi , depois de definir o cookie "nomedeusuário = admin" , para que o sistema forneça acesso administrativo ignorando a solicitação de senha. A próxima etapa é executar a solicitação POST "cmd = cgi_get_ipv6 & flag = 1" , que levará à geração da chave da sessão e garantirá a continuação da sessão com a capacidade de acessar outros scripts com direitos de administrador. Um ataque bem-sucedido fornece controle completo sobre as configurações do dispositivo, além da capacidade de ler, gravar e excluir qualquer dado armazenado no dispositivo.


O especialista escreve que o problema foi encontrado por ele durante a engenharia reversa de arquivos binários CGI. Ele reproduziu a vulnerabilidade no modelo My Cloud WDBCTL0020HWT com a versão de firmware 2.30.172, mas assume que a vulnerabilidade não está limitada a esse modelo, pois todos os produtos My Cloud parecem usar o mesmo software vulnerável.

Os usuários são fortemente aconselhados a restringir o acesso à interface da web do MyCloud a uma lista de endereços confiáveis, bem como desativar a função de acesso a partir de redes públicas (Configurações-> Geral-> Acesso à Nuvem). Pronto para uso, o modo Dashboard Cloud Access está desabilitado, mas também é possível um ataque da rede local.

A propósito, em Habré, há uma revisão do My Cloud 2 tb .