Abo
  • Services:

Western Digital My Cloud: NAS-Gerät macht jeden zum Admin

Western Digital hat in der Hackerszene nicht den Ruf, Schwachstellen schnell zu beseitigen. Sicherheitslücken, die den Login-Vorgang und die Ausführung von Code betreffen, wurden daher ohne Responsible Disclosure veröffentlicht - damit die Nutzer handeln können.

Artikel veröffentlicht am ,
NAS mit Vase (Stillleben)
NAS mit Vase (Stillleben) (Bild: Western Digital)

Zahlreiche NAS-Geräte von Western Digital sind offenbar für Angriffe aus der Ferne verwundbar, wie Zenofex vom Projekt Exploitee.rs schreibt. Während der Untersuchung hatte Western Digital einen Bug gepatcht, aber dabei eine weitere Schwachstelle geöffnet.

Stellenmarkt
  1. Bundeskriminalamt, Wiesbaden
  2. Alfred Kärcher SE & Co. KG, Winnenden bei Stuttgart

Ursprünglich wurde der Login-Status nur durch ein vom Nutzer bereitgestelltes Cookie geprüft. Nutzer hätten hier die entsprechenden Argumente eintragen müssen. Mit dem Argument "isAdmin=1" hätten sie sich dabei ohne jede weitere Prüfung selbst Administratorenrechte zuschreiben können. Diese Schwachstelle wurde nach Angaben von Zenofex im Laufe der Untersuchungen geschlossen. Genaue Angaben zur betroffenen Firmware-Version gibt es in dem Post nicht.

Zweiter Fehler nicht gepatcht

Ein weiterer Fehler ist nach wie vor in der Firmware präsent und wurde bislang nicht behoben. Das Exploitee.rs-Team hat nach eigenen Angaben den Prozess des Responsible Disclosure nicht eingehalten und begründet das mit mangelhaftem Verhalten des Herstellers in der Vergangenheit. So habe Western Digital bei den vergangenen Pwnie-Awards einen Preis in der Kategorie "Schlechteste Hersteller-Reaktion" bekommen. Daher wolle man die Informationen so schnell wie möglich veröffentlichen, damit Nutzer ihre eigenen Geräte schützen können.

Der zweite Fehler betrifft eine inkorrekte Implementierung von PHP, insbesondere der Funktion "wto_check()", mit der eigentlich geprüft werden soll, ob ein Nutzer korrekt eingeloggt ist oder nicht. Weil aber die Funktion "escapeshellcmd()" falsch benutzt wird, kann der Nutzer einfach neue Argumente zu dem geprüften String hinzufügen und so erneut ein unautorisiertes Login vornehmen.

Weitere Fehler in der Implementierung der verwendeten CGI-Skripte ermöglichen einem Angreifer zudem, Befehle einzuschleusen und mit Root-Rechten auszuführen. Von den Sicherheitslücken betroffen sind nach Angaben von Exploitee.rs die Produkte My Cloud, My Cloud Gen 2, My Cloud Mirror, My Cloud PR2100, My Cloud PR4100, My Cloud EX2 Ultra, My Cloud EX2, My Cloud EX4, My Cloud EX2100, My Cloud EX4100, My Cloud DL2100 und My Cloud DL4100. Nutzer sollten die Geräte nicht mehr mit dem Internet verbinden, bis die Probleme behoben sind. Wir haben Western Digital wegen einer Stellungnahme kontaktiert.



Anzeige
Hardware-Angebote

StunMan 07. Mär 2017

Wie gut, dass ich für die DL2100er mir einfach ein custom image gemacht habe...

nv1t 07. Mär 2017

Das schoene an der CSRF ist, dass es nicht auf dich zugeschnitten sein muss. Das geht...

nv1t 07. Mär 2017

Ich stimme zu, dass wenn der Authentication Bug gefixt ist UND die 13 pre auth RCEs die...

Anonymer Nutzer 07. Mär 2017

Schau dir mal die Screens und die Software in den Autos an. Bis auf wenige Ausnahmen in...

nv1t 07. Mär 2017

Das reicht leider nicht aus. Die Luecken koennen ueber CSRF ausgenutzt werden, was...


Folgen Sie uns
       


Octopath Traveler - Livestream

Im Livestream zu Octopath Traveler erklären wir den Alltag im JRPG von Square Enix und Nintendo und verfallen später in eine Diskussion über Motivationsphilosophien in Games und das Genre allgemein.

Octopath Traveler - Livestream Video aufrufen
Elektromobilität: Regierung bremst bei Anspruch auf private Ladesäulen
Elektromobilität
Regierung bremst bei Anspruch auf private Ladesäulen

Die Anschaffung eines Elektroautos scheitert häufig an der fehlenden Lademöglichkeit am heimischen Parkplatz. Doch die Bundesregierung will vorerst keinen eigenen Gesetzesentwurf für einen Anspruch von Wohnungseigentümern und Mietern vorlegen.
Ein Bericht von Friedhelm Greis

  1. ID Buzz und Crozz Volkswagen will Elektroautos in den USA bauen
  2. PFO Pininfarina plant Elektrosupersportwagen mit 400 km/h
  3. Einride Holzlaster T-Log fährt im Wald elektrisch und autonom

Smartphone von Gigaset: Made in Bocholt
Smartphone von Gigaset
Made in Bocholt

Gigaset baut sein Smartphone GS185 in Bocholt - und verpasst dem Gerät trotz kompletter Anlieferung von Teilen aus China das Label "Made in Germany". Der Fokus auf die Region ist aber vorhanden, eine erweiterte Fertigung durchaus eine Option. Wir haben uns das Werk angeschaut.
Ein Bericht von Tobias Költzsch

  1. Bocholt Gigaset baut Smartphone in Deutschland

Razer Huntsman im Test: Rattern mit Infrarot
Razer Huntsman im Test
Rattern mit Infrarot

Razers neue Gaming-Tastatur heißt Huntsman, eine klare Andeutung, für welchen Einsatzzweck sie sich eignen soll. Die neuen optomechanischen Switches reagieren schnell und leichtgängig - der Geräuschpegel dürfte für viele Nutzer aber gewöhnungsbedürftig sein.
Ein Test von Tobias Költzsch

  1. Huntsman Razer präsentiert Tastatur mit opto-mechanischen Switches
  2. Razer Abyssus Essential Symmetrische Gaming-Maus für Einsteiger
  3. Razer Nommo Chroma im Test Blinkt viel, klingt weniger

    •  /