Εύκολο να προσπεραστεί το εμπόδιο του κωδικού πρόσβασης σε συσκευές Western Digital MyCloud

Οι συσκευές Western Digital MyCloud είναι ιδιαίτερα δημοφιλείς συσκευές NAS(network storage devices) χάρη και στις τιμές των μικρότερων μοντέλων που είναι σχετικά προσιτές. Με τις συσκευές αυτές να χρησιμοποιούνται για την αποθήκευση και προσωπικών δεδομένων, η ασφάλεια είναι ιδιαίτερα σημαντικός παράγοντας. Πρόσφατα ανακαλύφθηκε μια ευπάθεια η οποία επιτρέπει σε κάποιον να προσπεράσει το εμπόδιο του κωδικού πρόσβασης, με την Western Digital να μην έχει προχωρήσει στην διόρθωση του κενού αυτού.

Το χειρότερο ίσως από όλα είναι ότι η Western Digital έχει ενημερωθεί για αυτό από τον Απρίλιο του 2017. Η εταιρία ειδοποιήθηκε από τον ερευνητή ασφαλείας Remco Vermeulen, ο οποίος αναφέρει ότι η εταιρία τελικά σταμάτησε την επικοινωνία μαζί του. Αν και η WD έχει κυκλοφορήσει το τελευταίο διάστημα αναβαθμίσεις για τις συσκευές My Cloud, καμιά από αυτές δεν φαίνεται να διορθώσει το συγκεκριμένο πρόβλημα, το οποίο επιτρέπει στον επιτιθέμενο, μέσω απομακρυσμένης πρόσβασης(remote access), να αποκτήσει δικαιώματα administrator, χωρίς να χρειάζεται αυτός να παράσχει το κωδικό πρόσβασης. Ο RemcoVermeulen αναφέρει ότι η εν λόγω ευπάθεια είναι εύκολο να την εκμεταλλευτεί κάποιος, ενώ έχει επιβεβαιωθεί και από άλλους ερευνητές. Για να μπορεί κάποιος να αποκτήσει πρόσβαση σε ένα My Cloud NAS, αρκεί αυτό να έχει ρυθμιστεί να επιτρέπει απομακρυσμένη πρόσβαση από το διαδίκτυο.

Εκπρόσωπος της Western Digital ανέφερε ότι η εταιρία δουλεύει πάνω σε μια αναβάθμιση η οποία θα διορθώνει το πρόβλημα. Η αναβάθμιση αυτή θα γίνει διαθέσιμη μέσα στις επόμενες βδομάδες. Επηρεάζονται οι συσκευές των σειρών My Cloud EX2, EX4 και Mirror, αλλά όχι οι τελευταίες της σειράς My Cloud Home. Για την ώρα, αν κάποιος επιθυμεί να είναι απόλυτα ασφαλής, θα πρέπει να κόψει την απομακρυσμένη πρόσβαση μέσω διαδικτύου.

Περισσότερα για την ευπάθεια αυτή, μπορείτε να βρείτε εδώ: Authentication bypass vulnerability in Western Digital My Cloud allows escalation to admin privileges - Security Advisories and Insights - Securify B.V.