• +54 (011) 4323-9362

  • de Lun a Vie de 9 a 17 hs

  • ciberseguridad@ba-csirt.gob.ar

  • ############################
    |A|L|E|R|T|A|S| |B|A|-|C|S|I|R|T|
    ############################

    Vulnerabilidades en NAS Western Digital MyCloud
    12/01/2018
    =============================================
    CVE-2017-17560
    Fecha de lanzamiento: 11/01/2018
    Gravedad: Alta
    =============================================

    VULNERABILIDAD
    --------------------------------------------------------------------------------

    Se permitiría tomar el control del dispositivo al aprovechar varias vulnerabilidades en el servicio HTTP de administración remota. Se alerta además de un backdoor presente en el firmware y no documentado, entre otros impactos.

    INFORMACIÓN
    --------------------------------------------------------------------------------

    Western Digital Corporation es un fabricante mundial de discos duros, con una larga historia en la industria electrónica, es un fabricante de circuitos integrados y de productos de almacenamiento.
    My Cloud es una línea de dispositivos personales de almacenamiento en red y servidores multipropósito diseñados y comercializados por Western Digital Corporation.

    DESCRIPCIÓN
    --------------------------------------------------------------------------------

    - Salto de restricciones que permitiría subir ficheros al dispositivo :
    Existirían unas incorrectas políticas de seguridad en el fichero "web/pages/jquery/uploader/multi_uploadify.php" al utilizar la función php "gethostbyaddr". Un atacante remoto con una petición especialmente manipulada, podría subir ficheros al dispositivo sin autenticarse; por ejemplo, una webshell al servidor NAS. Existen exploits disponibles que aprovechan esta vulnerabilidad, ya que fue también descubierta por el grupo Exploiteers en junio de 2017, los cuales publicaron un PoC y se ha adaptado a Metasploit.

    - Cuenta de administración remota no documentada "mydlinkBRionyg":
    Tras realizar un reversing a los módulos cgi del dispositivo, se descubrió que existía un usuario de administración remota activo y no documentado. Este 'backdoor' se localizaba en el cgi "/cgi-bin/nas_sharing.cgi" y acepta como login válido al usuario "mydlinkBRionyg" con password "abc12345cba":

    - Otras vulnerabilidades:

    El resto de vulnerabilidades reportadas, aunque requerirían autenticación en el servidor, facilitarían ataques de tipo XSRF, ya que virtualmente la protección no estaría activa. Llamadas del tipo http://wdmycloud/web/dsdk/DsdkProxy.php?;rm -rf / permitirían eliminar el contenido del sistema si un usuario autenticado lo visitara. Otras vulnerabilidades comentadas en el reporte son, la inyección de código, denegaciones de servicio o la revelación de información sensible del dispositivo.

    Finalmente, el análisis concluye que la elección del nombre de usuario "mydlinkBRionyg" no es casual, ya que se determina que esta familia de dispositivos de Western Digital comparte código con el fabricante D-Link, tras analizar el firmware del modelo DNS-320L ShareCenter, aunque estos no se vean, por el momento, afectados.

    SISTEMAS AFECTADOS
    --------------------------------------------------------------------------------

    Los equipos que tienen la vulnerabilidad son aquellos My Cloud de versión 2.XX de firmware que cuenten con una configuración predeterminada (pero no los My Cloud Home)

    - MyCloud = 2.30.165
    - MyCloudMirror = 2.30.165
    - My Cloud Gen 2
    - My Cloud PR2100
    - My Cloud PR4100
    - My Cloud EX2 Ultra
    - My Cloud EX2
    - My Cloud EX4
    - My Cloud EX2100
    - My Cloud EX4100
    - My Cloud DL2100
    - My Cloud DL4100

    SOLUCIÓN
    --------------------------------------------------------------------------------

    Las vulnerabilidades han sido corregidas por el fabricante en su versión 2.30.181 del firmware, que puede descargarse desde el siguiente enlace: https://support.wdc.com/downloads.aspx?lang=en#firmware

    FUENTE
    --------------------------------------------------------------------------------

    https://hispasec.com/es/