Backdoor vecchia di anni nei Nas di Western Digital

Con lo zampino di D-Link, che però ha già corretto il bug anni fa.



[ZEUS News - www.zeusnews.it - 10-01-2018]

wd mycloud backdoor

Se possedete un Nas della serie MyCloud prodotta da WD (Western Digital), ci sono buone probabilità che esso contenga una backdoor.

James Bercegay di GulfTech ha infatti rivelato diverse vulnerabilità nei dispositivi MyCloud, e una di esse è una backdoor presente negli apparecchi sin dalla fabbrica e vecchia di anni.

L'esistenza di questa falla non è stata scoperta solo di recente: recente è l'annuncio pubblico, ma l'azienda è stata avvisata circa sei mesi fa.

Western Digital però pare aver preferito non intervenire sino a novembre 2017, quando ha finalmente rilasciato il firmware 2.30.172 che dovrebbe sistemare il problema.

Sfruttare la backdoor per ottenere accesso di root al Nas (e quindi ai file lì conservati) non è molto complicato: «tutto ciò che bisogna fare è inviare una richiesta post che contenga un file da caricare con il parametro "Filedata[0]", un'indicazione su dove caricare il file all'interno del parametro "folder", e un header "Host" fasullo».

Compiute queste operazioni si può avviare una sessione shell, nella quale si può fare il login usando il nome utente mydlinkBRionyg e la password abc12345cba per avere i poteri di amministratore.

Tanta facilità nello sfruttarla rende la falla particolarmente pericolosa, anche perché il processo può essere automatizzato e usato per diffondere worm basati su questo bug.

Sondaggio
Quali di questi dati ti spiacerebbe perdere di più?
Dati finanziari e di pagamento
Documenti relativi al lavoro
Email personali
Email di lavoro
Messaggi personali (SMS, Whatsapp ecc.)
Foto dei miei bambini
Foto dei viaggi
Foto private o particolari o sensibili di me stesso
Foto private o particolari o sensibili del mio partner
Altre foto (non sensibili)
Note e documenti personali
Password
Rubrica degli indirizzi o dei contatti telefonici
Scansioni di passaporti, patenti, assicurazioni e altri documenti personali

Mostra i risultati (1770 voti)
Leggi i commenti (37)

E se anche il Nas fosse accessibile soltanto dalla rete locale, basterebbe convincere l'utente a visitare un sito all'interno del quale si nasconde del codice che tenta di raggiungere il MyCloud usando uno degli indirizzi di default, come wdmycloud o wdmycloudmirror.

Un ulteriore dettaglio interessante è il fatto che all'interno del nome utente necessario per sfruttare la backdoor si legge chiaramente il nome dell'azienda concorrente D-Link (seppur mancante del trattino).

Ciò pare essere dovuto al fatto che i Nas di WD originariamente condividevano una parte di codice con i dispositivi Sharecenter prodotti da D-Link. Per questi, però, nel 2014 è stata rilasciata una patch che chiude la backdoor.

Di seguito, pubblichiamo la lista dei dispositivi MyCloud in cui la backdoor è presente. Come dicevamo, il firmware 2.30.172 dovrebbe risolvere il problema, per cui se si è in possesso di uno dei Nas indicati è bene scollegarlo subito dalla rete, verificare che il firwmare sia il più recente (oppure effettuare l'aggiornamento) e solo in seguito ricollegarlo.

MyCloud
MyCloudMirror
My Cloud Gen 2
My Cloud PR2100
My Cloud PR4100
My Cloud EX2 Ultra
My Cloud EX2
My Cloud EX4
My Cloud EX2100
My Cloud EX4100
My Cloud DL2100
My Cloud DL4100

Se questo articolo ti è piaciuto e vuoi rimanere sempre informato con Zeus News ti consigliamo di iscriverti alla Newsletter gratuita. Inoltre puoi consigliare l'articolo utilizzando uno dei pulsanti qui sotto, inserire un commento (anche anonimo) o segnalare un refuso.
© RIPRODUZIONE RISERVATA

Commenti all'articolo (1)

Ritengo che un produttore serio come WD dovrebbe intervenire molto più rapidamente quando gli viene segnalato un problema di sicurezza su un NAS da lui prodotto. Mi sembra che ancora una volta si sia persa un'occasione per dare un segnale chiaro di prontezza ed attenzione ai clienti.
14-1-2018 16:55

La liberta' di parola e' un diritto inviolabile, ma nei forum di Zeus News vige un regolamento che impone delle restrizioni e che l'utente e' tenuto a rispettare. I moderatori si riservano il diritto di cancellare o modificare i commenti inseriti dagli utenti, senza dover fornire giustificazione alcuna. Gli utenti non registrati al forum inoltre sono sottoposti a moderazione preventiva. La responsabilita' dei commenti ricade esclusivamente sui rispettivi autori. I principali consigli: rimani sempre in argomento; evita commenti offensivi, volgari, violenti o che inneggiano all'illegalita'; non inserire dati personali, link inutili o spam in generale.
E' VIETATA la riproduzione dei testi e delle immagini senza l'espressa autorizzazione scritta di Zeus News. Tutti i marchi e i marchi registrati citati sono di proprietà delle rispettive società. Informativa sulla privacy. I tuoi suggerimenti sono di vitale importanza per Zeus News. Contatta la redazione e contribuisci anche tu a migliorare il sito: pubblicheremo sui forum le lettere piu' interessanti.
Sondaggio
Per quale motivo NON sei (più) sul social network più famoso?
Facebook mi ha stufato. Preferisco godermi Internet.
Non voglio che gli altri si facciano i fatti miei.
Ho da fare. Facebook mi fa perdere tempo.
Amo di più la vita reale.
Non voglio che si sappiano in giro i miei segreti.
Non ho testa per Facebook in questo momento.
A mia moglie (marito, fidanzat*, ragazz*) dà fastidio che io sia su Facebook.
Facebook vende i nostri dati e non rispetta la privacy.
Mi sono accorto che iniziavo a farmi sempre di più i fatti degli altri.
Facebook è morto. Io adesso uso Twitter (o Google+, Pinterest ecc.)

Mostra i risultati (4443 voti)
Febbraio 2025
Iliad, voci di fusione con TIM
Windows 11, Microsoft rimuove le istruzioni per aggirare i requisiti
Gennaio 2025
Da Logitech il radar per sorvegliare gli impiegati in ufficio
DeepSeek, la IA cinese che fa tremare le aziende occidentali
Intelligenza artificiale usata bene
Google Maps diventa meno ficcanaso
Windows 11 24H2, iniziano le installazioni automatiche
Windows 10, il nuovo Outlook si installa a forza
WEF: in cinque anni la IA si prenderà il vostro lavoro
L'Unione Europea multa sé stessa
L'accordo Meloni-Musk
Insieme a Vodafone, Fastweb sorpassa Tim
Dicembre 2024
L'utilità che rivela i drive USB farlocchi
Le modalità di utilizzo dei dati personali
Il Governo vuole regolare per legge le recensioni online dei ristoranti
Tutti gli Arretrati
Accadde oggi - 9 febbraio


web metrics