image

Western Digital MyCloud NAS-systemen door lek op afstand over te nemen

maandag 5 juli 2021, 10:37 door Redactie, 3 reacties

MyCloud NAS-systemen van fabrikant Western Digital zijn door een reeks van kwetsbaarheden in het onderliggende besturingssysteem op afstand over te nemen, zo waarschuwen beveiligingsonderzoekers. Onlangs werden MyBook Live-systemen van WD het doelwit van een aanval waarbij de data van gebruikers werd gewist.

Onderzoekers Radek Domanski en Pedro Ribeiro ontdekten verschillende kwetsbaarheden in MyCloud OS 3, het besturingssysteem van MyCloud NAS-systemen, die het mogelijk voor een ongeauthenticeerde aanvaller maken om code als root uit te voeren en een permanente backdoor op het NAS-systeem te installeren. De onderzoekers wilden hun bevindingen vorig jaar november demonstreren tijdens de Pwn2Own-hackwedstrijd in Tokio.

Een aantal dagen voor het evenement lanceerde Western Digital MyCloud OS 5, waarin de kwetsbaarheid niet aanwezig is. Daardoor konden ze niet meer met hun inzending aan Pwn2Own meedoen, aangezien alleen demonstraties tegen de laatste versie van de software worden geaccepteerd. In februari van dit jaar demonstreerden de onderzoekers hun aanval in YouTube-video. Ook ontwikkelden ze een onofficiële patch voor het probleem.

Volgens de onderzoekers reageerde Western Digital niet op hun bugmelding. In een reactie tegenover it-journalist Brian Krebs laat WD weten dat het de bugmelding na Pwn2own heeft ontvangen, maar dat de kwetsbaarheid al in MyCloud OS 5 was verholpen. Het is echter onduidelijk of het beveiligingslek in MyCloud OS 3 is opgelost. In maart van dit jaar waarschuwde WD dat deze versie van het besturingssysteem niet meer wordt ondersteund. Gebruikers werd opgeroepen om te upgraden naar OS 5.

Domanski en Ribeiro stellen dat OS 5 belangrijke features mist die wel in OS 3 aanwezig zijn, waardoor sommige gebruikers er misschien voor kiezen om niet te upgraden. Om eventueel misbruik te voorkomen wordt deze gebruikers aangeraden hun NAS niet direct vanaf het internet toegankelijk te maken.

Image

Reacties (3)
05-07-2021, 14:20 door _R0N_
Alweer?
05-07-2021, 16:07 door gbrugman
Helaas: Western Digital won’t fix a vulnerability found in older My Cloud OS3 storage devices
The company recently ended support for those NAS products. https://www.engadget.com/western-digital-my-cloud-os-3-vulnerability-212839292.html Een upgrade naar MyCloud OS 5 is niet mogelijk en dus kan je je MyBook enkel off-line gebruiken :-( Volgens mij kan je Internet Acces uitschakelen en wel op je LAN blijven gebruiken.
05-07-2021, 20:43 door Anoniem
Dit is al de zoveelste keer. Sta er niet van te kijken eigenlijk, dit is waarom ik persoonlijk alles offline doe..
Die hele WD nas firmware is zo lek als een mandje en heb ook gezien dat de release software veel debugging rommel bevat oftewel zeel slechte software..
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.