Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime e Analisi Vulnerabilità
La cancellazione di massa dei dispositivi di archiviazione Western Digital My Book Live, che RHC aveva riportato la scorsa settimana ha comportato lo sfruttamento di 2 vulnerabilità, che hanno consentito agli hacker di eseguire un ripristino di fabbrica da remoto senza password.
La vulnerabilità ha reso banale cancellare quelli che sono probabilmente moltissimi dati utente da parte di malintenzionati su NAS esposti su rete internet.
Ancora più interessante è il fatto che uno sviluppatore di Western Digital ha rimosso il codice che richiedeva una una autenticazione valida, prima di consentire il ripristino delle impostazioni di fabbrica.
La vulnerabilità zeroday risiedeva in un file chiamato system_factory_restore.
Tale file contiene uno script PHP che esegue il ripristino di fabbrica, consentendo agli utenti di avviare tutte le configurazioni predefinite e cancellare tutti i file memorizzati sui dispositivi.
Normalmente, il ripristino delle impostazioni di fabbrica richiede che la persona che effettua la richiesta fornisca una password utente di amministrazione valida. Questa autenticazione garantisce che i dispositivi possano essere ripristinati solo dal legittimo proprietario e non da un hacker malintenzionato.
Come mostra il seguente script, la Western Digital aveva creato cinque righe di codice per proteggere con password il comando di ripristino. Per ragioni sconosciute, il controllo di autenticazione è stato commentato successivamente, come indicato dal doppio carattere / all’inizio di ogni riga per motivi ignoti, anche se sembra che sia stato fatto intenzionalmente.
function post($urlPath, $queryParams = null, $ouputFormat = ‘xml’) { // if(!authenticateAsOwner($queryParams)) // { // header(“HTTP/1.0 401 Unauthorized”); // return; // }
La scoperta del secondo exploit arriva cinque giorni dopo che le persone da tutto il mondo hanno riferito che i loro dispositivi My Book Live erano stati compromessi e quindi ripristinati alle impostazioni di fabbrica in modo che tutti i dati archiviati fossero stati cancellati.
Il personale di Western Digital ha pubblicato un avviso relativamente alla CVE-2018-18472 di 3 ann fa.
Ancora più assurdo è che tale CVE, ovvero la vulnerabilità dell’esecuzione di comandi remoti è stata scoperta alla fine del 2018 dai ricercatori di sicurezza Paulos Yibelo e Daniel Eshetu, ma Western Digital, avendo smesso di supportare My Book Live, non l’aveva mai risolta.
