Уже год, как в домашних сетевых хранилищах My Cloud от WD зияет дыра

Комикс xkcd

В популярных домашних сетевых хранилищах My Cloud от компании Western Digital обнаружена уязвимость (CVE-2018-17153), она позволяет атакующему обойти механизм аутентификации и создать административную сессию, привязанную к его IP-адресу.

Ремко Вермелен, исследователь в области информационной безопасности, обнародовал все детали уязвимости в популярных устройствах Western Digital My Cloud. На этот шаг эксперт пошел тогда, когда компания после нескольких его обращений не устранила брешь и 15 месяцев спустя.

Вермелен проинформировал производителя о проблеме еще в апреле 2017 года, но компания по неизвестной причине в какой-то момент прервала контакты с исследователем. Обычно «белые» хакеры дают компаниям 90 дней на закрытие обнаруженной уязвимости, однако в нашей истории ожидание явно подзатянулось.

260 days ago I responsibly disclosed a privilege escalation in the WD MyCloud. Unfortunately @WDCreators doesn’t take security very seriously. After the recent public disclosure of Gulftech I decided to disclose my finding. @TheHackersNews #MyCloud #FullDisclosure pic.twitter.com/aEerGZpybU

— Remco Vermeulen (@RemcoVermeulen) January 10, 2018

Читать дальше →

source https://habr.com/post/424107/?utm_campaign=424107