Ein Sicherheitsexperte von Securify hat über das Problem CVE-2018-17153 im Western Digital NAS gesprochen, das die Entwickler seit April 2017 nicht beheben konnten. Die Schwachstelle ermöglicht es, die Authentifizierung zu umgehen und als Geräteadministrator die Kontrolle über My Cloud zu übernehmen.
Der Experte schreibt, er habe den Fehler auf der Western Digital My Cloud (Modell WDBCTL0020HWT, Firmware 2.30.172) getestet, betont jedoch, dass die Schwachstelle nicht auf dieses Modell beschränkt ist, da alle My-Cloud-Produkte tatsächlich denselben anfälligen Code verwenden.
Das Problem wurde beim Reverse Engineering der CGI-Binärdateien entdeckt. Sie ermöglicht es einem Angreifer, den Authentifizierungsmechanismus zu umgehen und eine Administratorsitzung zu erstellen, die an seine IP-Adresse gebunden ist. Die Forscher von Securify haben ihrem Bericht einen Proof-of-Concept-Exploit beigefügt, der nur wenige Zeilen umfasst. Außerdem wird erwähnt, dass dieselbe Schwachstelle auch von den Experten von Exploitee.rs entdeckt wurde, die ihren Exploit ebenfalls frei zugänglich veröffentlicht haben.
Das eigentliche Problem liegt jedoch nicht in der Schwachstelle selbst, sondern darin, dass die Forscher im April 2017 einen Fehler an die Vertreter von Western Digital gemeldet haben, aber von dem Unternehmen keine Antwort erhielten.
Bislang gibt es weiterhin keinen Patch für CVE-2018-17153, obwohl die Vertreter von Western Digital, nachdem die Probleme in den Medien bekannt wurden, versicherten, dass bereits an einem Patch gearbeitet werde und dieser in den kommenden Wochen veröffentlicht werde.
Aktualisierung:
Die Entwickler von WD haben einen Patch für ein gefährliches Problem veröffentlicht.
Hallo, kurzer Hinweis: Die kürzlich gemeldete Schwachstelle in der My-Cloud-Firmware wurde mit einem vom Nutzer installierbaren Hotfix behoben, den Sie hier finden: https://t.co/uplC38HOdt Dieser wird im Rahmen des regulären Upgrade-Zeitplans für diese Produkte auch in einem Over-the-Air-Update enthalten sein
— Western Digital (@westerndigital) 21. September 2018
