In de TV Media Player van harde schijffabrikant Western Digital bevinden zich meerdere ernstige beveiligingslekken waardoor een aanvaller het apparaat volledig kan overnemen en daarvandaan zelfs het achterliggende netwerk kan compromitteren en updates zijn nog niet beschikbaar.

Daarvoor waarschuwt beveiligingsbedrijf SEC Consult. In totaal vonden de onderzoekers van het bedrijf acht kwetsbaarheden. Zo is het mogelijk om zonder wachtwoord bestanden te uploaden en uit te voeren. Daarnaast is de webserversoftware van de Media Player kwetsbaar voor cross-site request forgery (csrf). Ook blijkt de private key in de firmware te zitten, draait de webserver met rootrechten en is het inloggen niet beschermd tegen bruteforce-aanvallen. Verder is de SQLite database kwetsbaar voor sql-injection.

Western Digital werd op 18 januari gewaarschuwd. Een paar dagen later liet het bedrijf weten dat het geen beveiligingsafdeling heeft waar dit soort zaken naar toe kunnen worden gestuurd. Uiteindelijk kwam SEC Consult wel in contact met iemand die over de security gaat, maar een update bleef uit. Wel vroeg Western Digital in februari om de bekendmaking van de kwetsbaarheden met 90 dagen uit te stellen. Het probleem is bevestigd in Media Player 1.03.07. Mogelijk zijn ook oudere versies kwetsbaar.