Een beveiligingsexpert van Securify heeft het probleem CVE-2018-17153 besproken in de Western Digital-netwerkopslag (NAS), dat de ontwikkelaars sinds april 2017 niet hebben kunnen oplossen. De kwetsbaarheid stelt u in staat de authenticatie te omzeilen en de controle over de My Cloud over te nemen als apparaatbeheerder.
De expert schrijft dat hij de bug heeft getest op de Western Digital My Cloud (model WDBCTL0020HWT, firmware 2.30.172), maar benadrukt dat de kwetsbaarheid niet beperkt blijft tot dit model, omdat alle My Cloud-producten in feite dezelfde kwetsbare code gebruiken.
Het probleem werd ontdekt tijdens de reverse engineering van de CGI-binaire bestanden. Het stelt een aanvaller in staat het authenticatiemechanisme te omzeilen en een beheindersessie te creëren die gekoppeld is aan zijn IP-adres. De onderzoekers van Securify hebben bij hun rapport een proof-of-concept-exploit gevoegd die slechts enkele regels lang is. Er wordt ook opgemerkt dat dezelfde kwetsbaarheid is ontdekt door de experts van Exploitee.rs, die hun exploit eveneens vrij toegankelijk hebben gepubliceerd.
Het belangrijkste probleem ligt echter niet in de kwetsbaarheid zelf, maar in het feit dat onderzoekers in april 2017 een bug hebben gemeld aan vertegenwoordigers van Western Digital, maar geen antwoord van het bedrijf hebben ontvangen.
Voorlopig is er nog steeds geen patch voor CVE-2018-17153, hoewel de vertegenwoordigers van Western Digital, nadat de problemen in de media waren aangekaart, hebben verzekerd dat ze al aan een oplossing werkten en binnen enkele weken een patch zouden uitbrengen.
Update:
De ontwikkelaars van WD hebben een patch uitgebracht voor een gevaarlijk probleem.
Hallo, even ter info: de onlangs gemelde kwetsbaarheid in de My Cloud-firmware is verholpen met een hotfix die door de gebruiker kan worden geïnstalleerd en die hier te vinden is: https://t.co/uplC38HOdt Deze wordt opgenomen in een over-the-air-update als onderdeel van het reguliere updateschema voor deze producten
— Western Digital (@westerndigital) 21 september 2018
