06/03/2017 di Redazione

Sicurezza, individuate falle nei Nas Western Digital

Gli hacker della community Exploitee.rs hanno reso note delle vulnerabilità nella gamma di dispositivi My Cloud: un bug nella procedura di autenticazione Web based potrebbe portare ad attacchi da remoto. Al momento l’unica soluzione è limitare o rimuovere

immagine.jpg

I Nas della serie My Cloud di Western Digital potrebbero essere esposti ad attacchi da remoto. La notizia, corredata di proof of concept, è stata diffusa dalla community di hacker etici che ruota attorno al portale Exploitee.rs e riguarda tutta la famiglia di dispositivi My Cloud, compresi quelli di fascia professionale (Ex2100, Ex4100, Dl2100, Dl4100, Pr2100 e Pr 4100). Secondo quanto ricostruito da Exploitee.rs, i firmware dei Nas contengono una serie di bug che permettono a un cybercriminale di aggirare la classica procedura di login con username e password, inserendo di conseguenza comandi arbitrati e caricando file senza bisogno di autorizzazione. Il controllo in fase di login è infatti affidato a script Php e cookie che, essendo male implementati, permettono a un hacker di aggirare il check fornendo due valori dei cookie creati ad hoc.

L’autore del post, tale Zenofex, ha riferito che Wd ha rilasciato nei giorni scorsi una patch per questo bug, ma nel processo di aggiornamento del firmware è sbucata un’altra vulnerabilità sostanzialmente identica alla prima. E per questa falla, al momento, non c’è soluzione. La community di Exploitee.rs ha deciso di divulgare le informazioni, reperibili a questa pagina, dopo aver appreso “la reputazione del vendor” durante l’ultima conferenza BlackHat Vegas.

Wd, infatti, ha vinto il premio “Pwnie for Lamest Vendor Response”, assegnato alle aziende meno convincenti in termini di sicurezza, per aver ignorato la gravità di una serie di bug che le erano stati riportati. “Ignorarli avrebbe lasciato i dispositivi online vulnerabili per un periodo di tempo maggiore […] Vogliamo invece mettere in guardia la comunità di queste falle e sperare che gli utenti disattivino l’esposizione alla Rete dei propri dispositivi, limitandone l’accesso dove possibile”.

Dal canto suo, Wd non ha ancora rilasciato una dichiarazione ufficiale. Aggiorneremo l’articolo non appena si saprà qualcosa di più. Nel frattempo, per evitare possibili exploit da remoto, i possessori di Nas Western Digital dovrebbero disabilitare l’accesso pubblico tramite interfaccia Web, limitandosi a utilizzare i dispositivi solo in locale.

 

ARTICOLI CORRELATI