Poważna wada w oprogramowaniu dysków WD MyCloud zapewnia dostęp do danych praktycznie każdemu

Rzadko publikujemy informacje ze światka informatycznego, ale tym razem jest ku temu naprawdę ważny powód. Jak donoszą serwisy poświęcone bezpieczeństwu danych, w oprogramowaniu magazynów sieciowych firmy Western Digital z popularnej (również wśród fotografów) serii WD MyCloud wykryto poważne błędy umożliwiające dostęp do danych praktycznie każdemu dysponującemu bardzo podstawową wiedzą. Odkrył je James Bercegay, badacz z firmy Gulftech, a wyniki poszukiwań zawarł w swoim raporcie. Jako że jest to dokument pisany mocno technicznym językiem, tutaj prezentujemy jego skrót oraz porady, co można zrobić w przypadku zagrożenia.
 

Dyski sieciowe WD My Cloud to popularne magazyny danych – również wśród fotografów bez zacięcia informatycznego. Szybkie, łatwe w użytkowaniu, niezawodne i – jak uważano do tej pory – bezpieczne. (Fot. Western Digital)

Problem związany jest z oprogramowaniem systemowym urządzeń z rodziny WD My Cloud o numerze wersji 2.30.165 lub niższym i stwierdzono możliwość jego wystąpienia na 12 modelach dysków firmy Western Digital: MyCloud, MyCloudMirror, My Cloud Gen 2, My Cloud PR2100, My Cloud PR4100, My Cloud EX2 Ultra, My Cloud EX2, My Cloud EX4, My Cloud EX2100, My Cloud EX4100,  My Cloud DL2100 oraz  My Cloud DL4100. Jeżeli więc dysponujecie którymś z tych urządzeń, na wszelki wypadek je teraz wyłączcie. Problem jest bowiem poważny – na szczęście można mu dość łatwo zaradzić.

[kn_advert]

Jak już wspomnieliśmy, wszystkiemu winne jest oprogramowanie wewnętrzne dysku. James Bercegay odkrył w nim wiele błędów umożliwiających m.in. możliwość wgrywania na dysk dowolnych plików dzięki usterkom w kodzie PHP panelu sterowania uruchamianego z poziomu przeglądarki WWW. Najgorsza jednak okazała się obecność zapisanego w pamięci dysku na stałe (a więc niewidocznego z poziomu normalnego panelu sterowania i niemożliwego do usunięcia w klasyczny sposób) konta o uprawnieniach administratora. Jego parametry są następujące: login – mydlinkBRionyg, hasło – abc12345cba.

Takie konto umożliwia każdej osobie znającej adres internetowy naszego serwera wejść do niego z pełnymi uprawnieniami administracyjnymi i zrobić z nim co tylko chce. To jednak nie wszystko. Nawet jeżeli nasz mały serwer dyskowy nie jest podłączony do Internetu, to korzystając z tych danych praktycznie każdy może umieścić na dowolnej stronie fragment kodu, który zamaskowany np. w postaci linku lub klikalnego obrazka po nieopatrznym uruchomieniu przez nas może nam zrobić coś bardzo niemiłego. Co? To już zależy od inwencji autora: wymazać wszystkie pliki, skonfigurować dedykowaną "tylną furtkę" do włamania, zainstalować złośliwe oprogramowanie... Wszystko dlatego, że choć atakujący nie ma dostępu do naszego serwera, to już NASZA przeglądarka kontaktuje się zarówno z Internetem, jak i z siecią lokalną.

Skąd się to wzięło i kto jest narażony?

Co bardziej spostrzegawczy czytelnicy zapewne zaczęli się już zastanawiać, co u licha w urządzeniach firmy Western Digital robi w nazwie konta słowo "dlink" – a więc odwołanie do firmy D-Link również produkującej osprzęt sieciowy? Rozwiązanie zagadki jest proste: najwyraźniej obaj producenci (WD i D-Link) używali tych samych fragmentów kodu w swoich urządzeniach. Owo konto dostępu istniało zresztą w oprogramowaniu dysku sieciowego D-Link DNS-320L, choć zniknęło z niego już w 2014 roku. Programiści z firmy Western Digital musieli ten fakt po prostu przegapić. Niestety, choć wspomniany James Bercegay zgłosił błąd producentowi już dawno temu (konkretnie w czerwcu ubiegłego roku), to do niedawna problem ten nie został wyeliminowany.

Na szczęście nie wszystkie urządzenia z wymienionych powyżej modeli są narażone na ten problem. Stosowane w nich oprogramowanie należy do dwóch rozwijanych niezależnie linii: 04.X oraz 2.30. Ta pierwsza nie jest w ogóle podatna na opisywany tutaj błąd, a w przypadku tej drugiej zagrożenie dotyczy urządzeń z oprogramowaniem o numerze 2.30.165 lub starszym.

Co robić, jeśli mamy któreś z wymienionych urządzeń?

Przede wszystkim nie wpadać w panikę. Na początek warto odłączyć komputer i dysk od Internetu, a następnie spróbować zalogować się na serwer za pomocą wspomnianego powyżej loginu i hasła. Jeżeli się to nie uda, to problem nas nie dotyczy. Jeżeli uzyskamy dostęp do serwera, to musimy zacząć działać. Alternatywnie możemy zalogować się naszym własnym loginem i hasłem i sprawdzić numer wersji oprogramowania wewnętrznego: 2.30.165 lub niższy oznacza, że mamy problem, natomiast 2.30.172 lub wyższy oznacza, że jesteśmy bezpieczni (tak samo jeżeli firmware naszego sprzętu należy do serii 04.X).

Na szczęście większość użytkowników serwerów WD MyCloud podłączonych do Internetu ma włączoną opcję aktualizowania oprogramowania sprzętu w tle – tak więc jest spora szansa, że stosowne poprawki były u nas wprowadzane na bieżąco. Jeżeli nie, należy podłączyć komputer do Sieci (nadal bez serwera), udać się pod ten adres i pobrać odpowiednie oprogramowanie dla naszego serwera. Następnie po raz kolejny odłączamy Internet, włączamy dysk sieciowy i dokonujemy aktualizacji zgodnie z instrukcją znajdującą się u dołu strony.

Źródło: Zaufana Trzecia Strona