La faille de sécurité WD My Cloud offre aux pirates un accès complet

Publié par Paul Taylor Traduction Yomane sur 22 Septembre 2018, 17:24pm

Catégories : #Failles & Alertes de Sécurité, #software hadware

Pourquoi c'est important: la question de la confidentialité et de la sécurité des données se répercute chaque fois qu'un fournisseur de matériel refuse de reconnaître ou de prendre connaissance des exploits qui compromettent les données de ses clients.

Bien que les données des clients soient exposées, personne ne se soucie de la boutique. Cette fois-ci, malgré un certain nombre de rapports adressés à DEO, une vulnérabilité d’un an a encore été corrigée.

Une faille de sécurité critique dans la célèbre famille de périphériques NAS My Cloud de Western Digital permet aux pirates d’avoir un accès complet au contenu des appareils. Remco Vermeulen, un chercheur néerlandais en sécurité vient de publier un rapport sur cette attaque d’escalade de privilèges bien connue pour les appareils MyCloud, mais seulement après avoir essayé de résoudre le problème avec Western Digital et de ne recevoir que de l’air chaud.

La "vulnérabilité de contournement de l’authentification", at-il dit, accorde à un attaquant l’accès aux privilèges d’administrateur, avant de se connecter à l’appareil. Cela permet à l'attaquant de créer un shell inverse, lui donnant accès aux fichiers de l'utilisateur sur le ou les lecteurs. La vulnérabilité est présente même sur une connexion distante via Internet, si le propriétaire de l'appareil a préalablement activé l'accès à distance.

Le même chercheur en sécurité déclare avoir déjà divulgué des détails sur d’autres attaques qui, à ce jour, n’avaient pas pris la peine de mettre à jour ses mises à jour de micrologiciel.

Le fait a été corroboré par Exploitee.rs qui a déclaré qu'ils avaient également signalé la même vulnérabilité et même documenté l'ensemble du processus.

La série de dispositifs My Cloud de Western Digital est notoirement vulnérable et plusieurs attaques ont été signalées à plusieurs reprises dans les médias. Le problème reste cependant.

Au cours des dernières heures, l’équipe d’ingénieurs de WD a répondu à la divulgation publique et a déclaré qu’elle travaillait sur une «mise à jour programmée du micrologiciel pour résoudre le problème» et a conseillé aux clients de contacter leur équipe de support. Le fournisseur de matériel a reconnu, dans un article de blog, que certains de ses appareils qui utilisent Dashboard Cloud Access restent vulnérables à l’exploitation, notamment My Cloud EX2, EX4, Mirror, PR2100 et PR4100. Vous pouvez trouver une liste complète ici .

Pour être honnête, WD n'est pas le premier et ne sera pas le dernier fournisseur de matériel à commercialiser des produits présentant des vulnérabilités flagrantes, mais il va sans dire que les correctifs du tamis qui fuit sont limités dans le temps.

Source : techspot