Backdoor vecchia di anni nei Nas di Western Digital

Con lo zampino di D-Link, che però ha già corretto il bug anni fa.



[ZEUS News - www.zeusnews.it - 10-01-2018]

wd mycloud backdoor

Se possedete un Nas della serie MyCloud prodotta da WD (Western Digital), ci sono buone probabilità che esso contenga una backdoor.

James Bercegay di GulfTech ha infatti rivelato diverse vulnerabilità nei dispositivi MyCloud, e una di esse è una backdoor presente negli apparecchi sin dalla fabbrica e vecchia di anni.

L'esistenza di questa falla non è stata scoperta solo di recente: recente è l'annuncio pubblico, ma l'azienda è stata avvisata circa sei mesi fa.

Western Digital però pare aver preferito non intervenire sino a novembre 2017, quando ha finalmente rilasciato il firmware 2.30.172 che dovrebbe sistemare il problema.

Sfruttare la backdoor per ottenere accesso di root al Nas (e quindi ai file lì conservati) non è molto complicato: «tutto ciò che bisogna fare è inviare una richiesta post che contenga un file da caricare con il parametro "Filedata[0]", un'indicazione su dove caricare il file all'interno del parametro "folder", e un header "Host" fasullo».

Compiute queste operazioni si può avviare una sessione shell, nella quale si può fare il login usando il nome utente mydlinkBRionyg e la password abc12345cba per avere i poteri di amministratore.

Tanta facilità nello sfruttarla rende la falla particolarmente pericolosa, anche perché il processo può essere automatizzato e usato per diffondere worm basati su questo bug.

Sondaggio
Quali di questi dati ti spiacerebbe perdere di pių?
Dati finanziari e di pagamento
Documenti relativi al lavoro
Email personali
Email di lavoro
Messaggi personali (SMS, Whatsapp ecc.)
Foto dei miei bambini
Foto dei viaggi
Foto private o particolari o sensibili di me stesso
Foto private o particolari o sensibili del mio partner
Altre foto (non sensibili)
Note e documenti personali
Password
Rubrica degli indirizzi o dei contatti telefonici
Scansioni di passaporti, patenti, assicurazioni e altri documenti personali

Mostra i risultati (952 voti)
Leggi i commenti (30)

E se anche il Nas fosse accessibile soltanto dalla rete locale, basterebbe convincere l'utente a visitare un sito all'interno del quale si nasconde del codice che tenta di raggiungere il MyCloud usando uno degli indirizzi di default, come wdmycloud o wdmycloudmirror.

Un ulteriore dettaglio interessante è il fatto che all'interno del nome utente necessario per sfruttare la backdoor si legge chiaramente il nome dell'azienda concorrente D-Link (seppur mancante del trattino).

Ciò pare essere dovuto al fatto che i Nas di WD originariamente condividevano una parte di codice con i dispositivi Sharecenter prodotti da D-Link. Per questi, però, nel 2014 è stata rilasciata una patch che chiude la backdoor.

Di seguito, pubblichiamo la lista dei dispositivi MyCloud in cui la backdoor è presente. Come dicevamo, il firmware 2.30.172 dovrebbe risolvere il problema, per cui se si è in possesso di uno dei Nas indicati è bene scollegarlo subito dalla rete, verificare che il firwmare sia il più recente (oppure effettuare l'aggiornamento) e solo in seguito ricollegarlo.

MyCloud
MyCloudMirror
My Cloud Gen 2
My Cloud PR2100
My Cloud PR4100
My Cloud EX2 Ultra
My Cloud EX2
My Cloud EX4
My Cloud EX2100
My Cloud EX4100
My Cloud DL2100
My Cloud DL4100

Se questo articolo ti è piaciuto e vuoi rimanere sempre informato con Zeus News ti consigliamo di iscriverti alla Newsletter gratuita. Inoltre puoi consigliare l'articolo utilizzando uno dei pulsanti qui sotto, inserire un commento (anche anonimo) o segnalare un refuso.
© RIPRODUZIONE RISERVATA

Commenti all'articolo (1)

Ritengo che un produttore serio come WD dovrebbe intervenire molto pių rapidamente quando gli viene segnalato un problema di sicurezza su un NAS da lui prodotto. Mi sembra che ancora una volta si sia persa un'occasione per dare un segnale chiaro di prontezza ed attenzione ai clienti.
14-1-2018 16:55

La liberta' di parola e' un diritto inviolabile, ma nei forum di Zeus News vige un regolamento che impone delle restrizioni e che l'utente e' tenuto a rispettare. I moderatori si riservano il diritto di cancellare o modificare i commenti inseriti dagli utenti, senza dover fornire giustificazione alcuna. Gli utenti non registrati al forum inoltre sono sottoposti a moderazione preventiva. La responsabilita' dei commenti ricade esclusivamente sui rispettivi autori. I principali consigli: rimani sempre in argomento; evita commenti offensivi, volgari, violenti o che inneggiano all'illegalita'; non inserire dati personali, link inutili o spam in generale.
E' VIETATA la riproduzione dei testi e delle immagini senza l'espressa autorizzazione scritta di Zeus News. Tutti i marchi e i marchi registrati citati sono di proprietà delle rispettive società. Informativa sulla privacy. I tuoi suggerimenti sono di vitale importanza per Zeus News. Contatta la redazione e contribuisci anche tu a migliorare il sito: pubblicheremo sui forum le lettere piu' interessanti.
Sondaggio
E' buona l'acqua del rubinetto?
Sė. La bevo quasi sempre.
No. Di solito bevo acqua in bottiglia.
Sė, ma di solito bevo acqua in bottiglia.

Mostra i risultati (5623 voti)
Febbraio 2018
Samsung Galaxy S9, le prime foto e tutte le indiscrezioni
Google elimina il pulsante Vedi Immagine per compiacere i signori del copyright
Fbi, Cia e Nsa: Non usate gli smartphone di Huawei e Zte
È arrivato LibreOffice 6.0 (ora 6.0.1)
Alla ricerca dei futuri signori dell'acqua
Telemarketing e registro delle opposizioni, le novità in arrivo
Schede video, le criptovalute fanno schizzare il prezzo alle stelle
Tim, lo scorporo della rete è imminente ma minaccia la trattativa per gli esuberi
Per il ''dilemma'' delle password esiste una terza opzione
La lavatrice che fa il bucato in cinque minuti netti, senza elettricità
Office 2019 sarà l'ultima versione e non funzionerà su Windows 7 e 8.1
Sorveglianza approfondita e non consensuale
L'app per il fitness svela le basi militari segrete in tutto il mondo
Gennaio 2018
Meno del 10% degli utenti Gmail usa l'antifurto gratuito offerto da Google
Windows 10 diventa Polaris: modulare e leggerissimo, ma non retro compatibile
Tutti gli Arretrati


web metrics