歡迎光臨
每天分享高質量文章

【每日安全資訊】西部資料My Cloud私有雲被曝存在遠端訪問後門

近年來,消費者們對網路附加儲存(NAS)的興趣日漸濃厚,硬碟廠商們也順勢推出了諸多私有雲產品,但卻沒能在安全性上下足功夫。近日,外媒曝光了西部資料 My Cloud 裝置存在一個嚴重後門漏洞的訊息。別有用心的人們,可以藉此獲得聯網裝置的無限制根訪問。儘管 James Bercegay 早在 2017 年中就向廠商披露了該漏洞,但是半年過去了,西數還是沒有進行修複。


據其披露的概念驗證的完整細節,最麻煩的事情在於,My Cloud 存有一個無法更改的硬編碼後門憑證。

任何人都可以透過‘mydlinkBRionyg’這個擁有管理員許可權的使用者名稱、以及‘abc12345cba’這組密碼來登入西部資料的 My Cloud 服務。登入之後,攻擊者有大量的機會去諸如命令,從而取得毫無防備的 shell 訪問許可權。

有鑒於此,即便切斷了外網連線,西數 NAS 裝置使用者在內網中同樣危險:

只需在網站上精心設計一幅 HTML 影象和 iFrame 標記,然後使用可預測的主機名稱向本地網路的裝置發出請求。
除了引誘訪問惡意網頁之外,全程不需要使用者的任何互動。

據悉,受影響的型號極其廣泛,包括:

My Cloud Gen 2、My Cloud EX2、My Cloud EX2 Ultra、My Cloud PR2100、My Cloud PR4100、My Cloud EX4、My Cloud EX2100、My Cloud EX4100、My Cloud DL2100、以及 My Cloud DL4100 。

爆料人已經公開了一個 Metasploit 模組,因此所有人都可以輕鬆向 WD NAS 裝置發起攻擊。

最後,我們只能向所有受影響的使用者提出徹底斷網的建議,直到廠家推送安全補丁。

來源:cnBeta.COM

更多資訊

◈ 讓9億人上癮的小遊戲背後,是一個600億元的大生意

http://t.cn/RHd6yLC

◈ Chrome 正變成新 IE 6

http://t.cn/RHd6ymp

◈ 全新美國海關指導方針限制複製檔案和搜查雲資料

http://t.cn/RHd6UCQ

◈ 10 億印度個人資料網上只售 8 美元

http://t.cn/RHd6U1O

(資訊來源於網路,安華金和蒐集整理)


贊(0)

分享創造快樂