James Bercegay o této zranitelnosti výrobce informoval v polovině roku 2017. Pak tomu dal půl roku a nyní se o celé situaci dozvídá v detailech i veřejnost. Problém však je, že doposud nebyla vydána žádná záplata.
Ještě více znepokojující je existence zpětných vrátek s přihlašovacími údaji, jež nelze změnit. Přihlásit se ke službám Western Digital My Cloud může kdokoliv s administrátorským přihlašovacím jménem „mydlinkBRionyg“ a heslem „abc12345cba“. Jakmile se přihlásíte, získáte neomezené možnosti injektáže libovolných příkazů.
Majitelé NAS úložišť Western Digital nejsou v bezpečí ani na LAN sítích. Na webech lze využít speciálně vytvořený obrázek v HTML a tagy iFrame k odesílání požadavků na zařízení na místní síti s využitím předvídatelných jmen hositele. Není nutná žádná interakce uživatele kromě návštěvy škodlivého webu.
K postiženým modelům patří My Cloud Gen 2, My Cloud EX2, My Cloud EX2 Ultra, My Cloud PR2100, My Cloud PR4100, My Cloud EX4, My Cloud EX2100, My Cloud EX4100, My Cloud DL2100 a My Cloud DL4100. Rychle byl zpřístupněn také modul Metasploit, s jehož využitím může disky Western Digital zneužít téměř kdokoliv.
Experti radí odpojit všechna postižená zařízení z vaší LAN sítě a zablokovat jim přístup k internetu až do vydání oficiální záplaty.
Zdroj: Techspot.com
PŘEDPLATNÉ
ČLÁNKY DO MAILU