The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

Уязвимость в сетевых хранилищах WD MyCloud, позволяющая получить доступ без аутентификации

20.09.2018 12:53

В выпускаемых компанией Western Digital сетевых хранилищах My Cloud выявлена уязвимость (CVE-2018-17153), позволяющая получить доступ к хранимым данным без прохождения аутентификации.

Для входа в web-интерфейс устройства достаточно было отправить запрос к скрипту /cgi-bin/network_mgr.cgi, установив Cookie "username=admin", и система предоставляла доступ с правами администратора не запрашивая пароль входа. Для генерации сессионного ключа для продолжения сеанса и обращения к другим скриптам с правами администратора можно отправить POST-запрос "cmd=cgi_get_ipv6&flag=1". Успешная атака позволяет полностью контролировать настройки устройства, а также читать, модифицировать и удалять любые данные в хранилище.

Компания Western Digital была информирована о проблеме ещё в апреле, но до сих пор не выпустила обновления. После пяти месяцев ожидания исследователь счёл возможным раскрыть сведения о выявленной уязвимости. Оказалось, что ещё в начале 2017 года другой исследователь безопасности уже сообщал в Western Digital о данной проблеме, но она так и не была рассмотрена. После публикации метода эксплуатации представители Western Digital сообщили, что обновление прошивки с устранением проблемы находится на финальной стадии тестирования.

Пользователям рекомендуется ограничить доступ к web-интерфейсу MyCloud только для заслуживающих доверие адресов, а также отключить функцию доступа из внешних сетей (Settings->General->Cloud Access). По умолчанию режим Dashboard Cloud Access отключен, но атака возможна и из локальной сети, например в результате компрометации других устройств.

  1. Главная ссылка к новости (https://www.securify.nl/adviso...)
  2. OpenNews: В сетевых хранилищах WDMyCloud выявлен бэкдор
  3. OpenNews: Центр защиты свободного ПО подал иск на 14 компаний за нарушение GPL
  4. OpenNews: Статистика надёжности жестких дисков Seagate, Western Digital и Hitachi
  5. OpenNews: Выявлено шпионское ПО, скрывающееся в прошивках жестких дисков
  6. OpenNews: Western Digital делает ставку на открытую архитектуру RISC-V
Лицензия: CC-BY
Тип: Проблемы безопасности
Ключевые слова: cloud
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение Ajax/Линейный | Раскрыть все сообщения | RSS
 
  • 1.1, имя (?), 13:02, 20/09/2018 [ответить] [показать ветку] [···]    [к модератору]
  • +2 +/
    Ограничил с того момента как поключил в сеть. Но всё равно стыдоба, за пол года так и не пофиксили.
     
     
  • 2.2, An (??), 13:06, 20/09/2018 [^] [ответить]    [к модератору]
  • +8 +/
    почти два года
     
     
  • 3.23, svsd_val (ok), 16:26, 20/09/2018 [^] [ответить]    [к модератору]
  • +10 +/
    Дык хороший был бэкдур... нужный =) Как же его фиксить то ?
     
  • 2.25, Аноним (-), 17:02, 20/09/2018 [^] [ответить]    [к модератору]
  • +/
    А причем здесь линукс? Эти парни даже поддержку Linux в своем ПО не декларируют, позор какой-то.
     
     
  • 3.30, Кумар Насрал (?), 17:09, 20/09/2018 [^] [ответить]    [к модератору]
  • +/
    а ты думал, мы на винде что-ли это сделали? Или, может, свою ртос запилили?

    ага, щасс...

     
  • 3.31, Тот_Самый_Анонимус (?), 17:41, 20/09/2018 [^] [ответить]    [к модератору]  
  • +2 +/
    >А причем здесь линукс?

    Действительно: причём? Вроде никто не упоминал.

     
  • 1.3, менеджер (?), 13:27, 20/09/2018 [ответить] [показать ветку] [···]    [к модератору]  
  • +29 +/
    понимаете, того китайца что этот код наляпал под видом теста на собеседовании, сцапала immigration, нанятая вместо него в порядке diversity и поддержке меньшинств мексиканская трансвеститка не поняла письма (оно вообще по-английски не понимает) а я такими мелочами не могу заниматься - да и не соображаю в них ничего. Искренне ваш, Кумар Нacpал
     
  • 1.4, Аноним (4), 13:27, 20/09/2018 [ответить] [показать ветку] [···]     [к модератору]  
  • +3 +/
    Уже вторая дыра в WD Cloud о которой я слышу за этот год Причём настолько глупа... весь текст скрыт [показать]
     
     
  • 2.6, Qwerty (??), 13:29, 20/09/2018 [^] [ответить]    [к модератору]  
  • +2 +/
    >там этих дыр будет выше крыши, ибо всем плевать.

    Правильно, всем плевать. Кроме параноиков, на которых, впрочем, тоже всем плевать.

     
     
  • 3.10, Аноним (10), 13:50, 20/09/2018 [^] [ответить]     [к модератору]  
  • +2 +/
    fixed... весь текст скрыт [показать]
     
     
  • 4.20, rshadow (ok), 15:35, 20/09/2018 [^] [ответить]    [к модератору]  
  • +1 +/
    > дыр будет выше крыши

    Вы про новую коллекцию фоток, а-ля утекшую с icloud?

     
  • 3.26, нах (?), 17:03, 20/09/2018 [^] [ответить]     [к модератору]  
  • +/
    ммм ты уверен что если я сейчас сканером нашарю твой недоклауд и просто для п... весь текст скрыт [показать]
     
  • 1.5, Qwerty (??), 13:28, 20/09/2018 [ответить] [показать ветку] [···]    [к модератору]  
  • –3 +/
    Не ожидал такого от WD. С другой стороны, за домашним NAT эта уязвимость не страшна.
     
     
  • 2.8, Аноним (8), 13:45, 20/09/2018 [^] [ответить]    [к модератору]  
  • –4 +/
    1. У вас wifi по макам и с ent авторизацией? :)
    2. Вы в броаузере на телефоне через wifi случайно страницы непонятных владельцев не открываете?
     
     
  • 3.11, Qwerty (??), 14:12, 20/09/2018 [^] [ответить]    [к модератору]  
  • +3 +/
    Да, по макам. Нет, не открываю.
     
  • 3.12, AnonPlus (?), 14:20, 20/09/2018 [^] [ответить]    [к модератору]  
  • +5 +/
    Поправьте, если ошибаюсь, но вифи по макам такая же бесполезная штука, как и скрытие ssid. Один хрен все маки и ssid видно в эфире, так что злоумышленник просто склонирует мак.
     
     
  • 4.13, iPony (?), 14:33, 20/09/2018 [^] [ответить]    [к модератору]  
  • +1 +/
    Да, так и есть.
     
  • 4.36, Maxim (??), 18:23, 20/09/2018 [^] [ответить]    [к модератору]  
  • –2 +/
    Зачем нужны эти маки? Почему они не меняются? От этих маков у меня дом на карте определяют любые карты без GPS.
     
  • 2.24, Аноним (-), 16:58, 20/09/2018 [^] [ответить]    [к модератору]  
  • –1 +/
    NAT != Firewall. Нат легко пробивается и от внешних подключений не защищает.
     
  • 2.27, нах (?), 17:06, 20/09/2018 [^] [ответить]     [к модератору]  
  • +/
    ожидал именно такого от wd - они ничерта не понимают ни в линуксах, ни в вебне, ... весь текст скрыт [показать]
     
     
  • 3.35, Аноним (-), 18:01, 20/09/2018 [^] [ответить]    [к модератору]  
  • –1 +/
    >Да и диски

    нормальные диски, если сравнивать с альтернативами типо сигейта

     
     
  • 4.39, пох (?), 19:57, 20/09/2018 [^] [ответить]     [к модератору]  
  • –1 +/
    https www backblaze com blog hard-drive-stats-for-q1-2018 второй сами ищите,... весь текст скрыт [показать]
     
     
  • 5.48, лютый лютик__ (?), 06:18, 21/09/2018 [^] [ответить]     [к модератору]  
  • –3 +/
    Из 662 437 45 180 ВДшек помер 1 Пох ты когда поумнеешь У меня дома ещё ни о... весь текст скрыт [показать]
     
     
  • 6.51, . (?), 10:48, 21/09/2018 [^] [ответить]     [к модератору]  
  • +1 +/
    из _всего_ 662 _недавно_ установленных wd шек, используемых в идеальных условиях... весь текст скрыт [показать]
     
     
  • 7.53, лютый лютик__ (?), 11:45, 21/09/2018 [^] [ответить]     [к модератору]  
  • –1 +/
    поставь 16 тысяч WDшек, тогда это будет вменяемое сравнение Речь не про дом был... весь текст скрыт [показать]
     
  • 1.7, Аноним (7), 13:39, 20/09/2018 [ответить] [показать ветку] [···]     [к модератору]  
  • +/
    Почему я не удивлен Вот что мешало им взять готовый открытый дистрибутив для NA... весь текст скрыт [показать]
     
     
  • 2.9, Аноним (8), 13:47, 20/09/2018 [^] [ответить]    [к модератору]  
  • –3 +/
    Тогда бы был доступ к потрохам системы и их обёртке сломали бы ещё быстрей, а у них там и доступ с телефона и dyndns или как его там...
     
     
  • 3.14, Crazy Alex (ok), 14:58, 20/09/2018 [^] [ответить]    [к модератору]  
  • +/
    Там было бы раз в сто меньше их кода и, соответственно, ошибок
     
     
  • 4.16, koblin (ok), 15:07, 20/09/2018 [^] [ответить]    [к модератору]  
  • +/
    без разницы какой код если они прошивки будут обновлять по году, после того как в исходном проекте все уже пофиксили
     
  • 4.28, нах (?), 17:07, 20/09/2018 [^] [ответить]     [к модератору]  
  • –2 +/
    будут общеизвестные ошибки в не их коде - который они и поправить-то не смогут ... весь текст скрыт [показать]
     
     
  • 5.37, Annoynymous (ok), 18:26, 20/09/2018 [^] [ответить]    [к модератору]  
  • +/
    > будут общеизвестные ошибки в не их коде - который они и поправить-то не смогут.

    Так они и так не правят.

    Зато смогут пользователи.

     
     
  • 6.44, пох (?), 21:21, 20/09/2018 [^] [ответить]     [к модератору]  
  • –2 +/
    не смогут Даже если wd вдруг соблюдет все политесы и честно выложит исх ссылк... весь текст скрыт [показать]
     
     
  • 7.55, Annoynymous (ok), 15:42, 21/09/2018 [^] [ответить]     [к модератору]  
  • +/
    Чушь-то какая Нет там никакого ноу-хау, прочто WD один из немногих оставшихся п... весь текст скрыт [показать]
     
     
  • 8.56, пох (?), 19:35, 21/09/2018 [^] [ответить]     [к модератору]  
  • +/
    понимаешь в чем дело - дядя Ляо у себя в подвале тоже умеет запихать диск с той ... весь текст скрыт [показать]
     
     
  • 9.60, Annoynymous (ok), 23:52, 21/09/2018 [^] [ответить]     [к модератору]  
  • +/
    А он осилит вне зависимости от того, использовал WD общедоступные исходники или ... весь текст скрыт [показать]
     
     
  • 10.64, пох (?), 13:22, 24/09/2018 [^] [ответить]     [к модератору]  
  • +/
    ему окажется дороже, чем просто копипастить - поэтому до сих пор и ниасилил лол... весь текст скрыт [показать]
     
  • 3.43, Kuromi (ok), 20:37, 20/09/2018 [^] [ответить]     [к модератору]  
  • +/
    Ага, атм все еще печальнее при инициации этого чуда надо регистрировать учетную... весь текст скрыт [показать]
     
     
  • 4.45, пох (?), 21:23, 20/09/2018 [^] [ответить]    [к модератору]  
  • –1 +/
    ну типа dynds на халяву штука ненадежная, а как еще прикажете обеспечить доступ к хомячковым клаудам за тройным натом с динамическим пулом адресов?

     
  • 2.49, Аноним (49), 08:04, 21/09/2018 [^] [ответить]    [к модератору]  
  • +/
    Так у них там debian же. Когда и кто его закрыл?
     
  • 2.54, Аноним (54), 12:52, 21/09/2018 [^] [ответить]     [к модератору]  
  • +/
    кроили, готовый нас не взлетит In short CPU Marvell Armada A375 2 cores, 1GHz... весь текст скрыт [показать]
     
     
  • 3.57, пох (?), 19:37, 21/09/2018 [^] [ответить]    [к модератору]  
  • +/
    > кроили, готовый нас не взлетит

    два ядра, полгига, куда больше то? Я хренею с ваших "готовых nas" в этом случае.

     
  • 1.15, Аноним (15), 15:01, 20/09/2018 [ответить] [показать ветку] [···]     [к модератору]  
  • –1 +/
    Мда это при том, что железо-то у них отменное Кстати, народ, кто у теме - а ... весь текст скрыт [показать]
     
     
  • 2.17, fi (ok), 15:11, 20/09/2018 [^] [ответить]    [к модератору]  
  • +/
    судя по схеме А20 - у них один SATA. остальные диски по USB надо подключать. И вообще то А20 уже старье 32битное - для NAS лучше больше
     
  • 2.52, RM (?), 11:11, 21/09/2018 [^] [ответить]    [к модератору]  
  • +/
    http://gnubee.org/
    https://kobol.io/helios4/
     
  • 1.18, Alexey (??), 15:12, 20/09/2018 [ответить] [показать ветку] [···]    [к модератору]  
  • +/
    А у меня есть сомнение, что WD вообще сами выпустили этот накопитель, а не перемаркировали D-Link со всеми их багами внутри.
     
     
  • 2.19, имя (?), 15:27, 20/09/2018 [^] [ответить]    [к модератору]  
  • +1 +/
    дельное замечание, наблюдал такое с поделкой от Samsung. распаковал обновление их прошивки и много-много смеялся и плакал над говнокодом веб-интерфейса
     
     
  • 3.29, нах (?), 17:08, 20/09/2018 [^] [ответить]    [к модератору]  
  • +1 +/
    и вот по этой причине длинк последние прошивки - шифрует. Чтоб не ржали, поганцы!
     
  • 1.22, ыы (?), 16:11, 20/09/2018 [ответить] [показать ветку] [···]    [к модератору]  
  • +1 +/

    "
    Не прячьте ваши данные по банкам и углам...
    Несите ваши данные к нам в облако...

    "

     
  • 1.32, Kuromi (ok), 17:42, 20/09/2018 [ответить] [показать ветку] [···]    [к модератору]  
  • +/
    Ох, вся эта тема WD My Cloud - сплошной позор. Мало того, что там уязвимости постонно находят, ак их последние продукты этой линейки - откровенная дичь, совместимые только с Windows или Android. Причем если раньше они хоть как-то, неявно, использовали нормальные стандартные решения (ssh хотя бы, NFS можно было включить вроде), то в последних все, ничего нет! Тлько проприетарный протокол реализованный в паре фирменных аппликух и все. Все остальное было объявлено устаревшим и ненужным.
    Сам присматривал одно время устройство этой серии, как почитао обзоры - бросил затею.
     
     
  • 2.33, Кумар Насрал (?), 17:54, 20/09/2018 [^] [ответить]    [к модератору]  
  • +/
    ну, типа, этот ваш ссхе нам непонятен, а этот ваше нефесе его ж ломают регулярно, а мы прошивки обновлять толком не научились (а кирпичеры массово понесут свои кирпичи обратно в walmart, в котором их взяли, и мы попадем на бабки, это вам не РФ)
    Мы и подумали, что если накорябаем "приложение", никто не догадается, как его можно поломать. И вот, опять :-(

     
     
  • 3.42, Kuromi (ok), 20:31, 20/09/2018 [^] [ответить]    [к модератору]  
  • +/
    Ага, особенно смешно будет когда через Х лет они забьют обновлять этот свой левый "драйвер" для Виндоус и приложение для Андроида. И все, на помойку.

    И это считается нормальным!!!

     
     
  • 4.58, x3who (?), 20:33, 21/09/2018 [^] [ответить]    [к модератору]  
  • +/
    > Ага, особенно смешно будет когда через Х лет они забьют обновлять этот свой левый "драйвер" для Виндоус и приложение для Андроида. И все, на помойку.

    Новость там, наверху страницы, читали? Они, походу, забили на этот свой софт ещё в процессе его написания.

     
  • 2.59, x3who (?), 20:43, 21/09/2018 [^] [ответить]    [к модератору]  
  • +/
    >  их последние продукты этой линейки - откровенная дичь, совместимые только с Windows или Android.

    Сйчас существуют WD My Cloud (AKA Ex2/4) и WD My Cloud HOME. Под первое портирован дебиан и там, если снести сабжевый баговитый софт, в общем-то всё хорошо, кроме охлаждения, ресурсов и т.п. А второе - это вот та самая откровенная дичь. Видел жалобы людей, которые не могли получить доступ к своему стораджу, который вот тут вот на столе рядом стоит потому, что РКН подрезал доступ к каким-то там сайтам. WD скатился в какую-то хмурую норкоманию.

     
     
  • 3.63, Kuromi (ok), 01:50, 23/09/2018 [^] [ответить]    [к модератору]  
  • +/
    >>  их последние продукты этой линейки - откровенная дичь, совместимые только с Windows или Android.
    > Сйчас существуют WD My Cloud (AKA Ex2/4) и WD My Cloud HOME.
    > Под первое портирован дебиан и там, если снести сабжевый баговитый софт,
    > в общем-то всё хорошо, кроме охлаждения, ресурсов и т.п. А второе
    > - это вот та самая откровенная дичь. Видел жалобы людей, которые
    > не могли получить доступ к своему стораджу, который вот тут вот
    > на столе рядом стоит потому, что РКН подрезал доступ к каким-то
    > там сайтам. WD скатился в какую-то хмурую норкоманию.

    Я вообще не понимаю почему NAS. который стоит, как вы говорите, вот тут на столе, мало того что необходимо привязывать к стороннему сервису, даром что от производителя, так еще и доступ почему-то осуществляется не напрямую, а с участием производителя.
    Как рекламирует это WD? "Вы сможете получить доступ к своему облачку из любой точки мира". ок, то есть NAS держит постоянный контакт с сервисами WD? очередной сервис для жертв NAT-а?
    А что насчет людей у которых белый IP? Специально смотрел, там нет кнопки "выключить сервисы WD, рабоатем сами по себе". Хочешь не хочешь - привыкай.

     
     
  • 4.65, x3who (?), 16:17, 24/09/2018 [^] [ответить]    [к модератору]  
  • +/
    Не знаю как они это своё поделие рекламируют. Возможно, постепенно приучают пользователей к облачным сервисам. Наверняка через пару поколений коробка от WD NAS уже и винчестера-то содержать не будет. Пользователю так проще и надёжнее.
     
  • 1.34, Аноним (-), 17:59, 20/09/2018 [ответить] [показать ветку] [···]    [к модератору]  
  • +/
    >уязвимость в WD MyCloud

    шо, опять?

     
  • 1.38, Аноним (38), 19:11, 20/09/2018 [ответить] [показать ветку] [···]    [к модератору]  
  • +/
    Не удивлюсь, если опять тайваньский OEM, делающий популярные говнорутеры, замешан.
     
     
  • 2.40, dlink (?), 19:58, 20/09/2018 [^] [ответить]    [к модератору]  
  • +/
    мы не виноваты, мы у себя еще пол-года назад поправили!
     
     
  • 3.41, ыы (?), 20:18, 20/09/2018 [^] [ответить]    [к модератору]  
  • +/
    зачем вообще было писать такое, чтобы потом поправлять??
     
  • 1.46, Аноним (-), 22:22, 20/09/2018 [ответить] [показать ветку] [···]    [к модератору]  
  • +/
    >cookie "username=admin"

    haha, classic

     
  • 1.61, Аноним (61), 10:24, 22/09/2018 [ответить] [показать ветку] [···]     [к модератору]  
  • +/
    Охеренный бэкдорчик Это настолько тупо, что даже банальной ошибкой или раззвезд... весь текст скрыт [показать]
     

     Добавить комментарий
    Имя:
    E-Mail:
    Заголовок:
    Текст:


      Закладки на сайте
      Проследить за страницей
    Created 1996-2019 by Maxim Chirkov  
    ДобавитьПоддержатьВебмастеруГИД  
    Hosting by Ihor