Western Digital<\/p>\n
Sa ei usu seda. Western Digital kinnitab<\/a> n\u00fc\u00fcd, et keelas autentimiskoodi, mis oleks pidanud takistama<\/a> eelmise n\u00e4dala My Book Live’i tehase l\u00e4htestamise \u00e4rakasutamist. Mis veelgi hullem, see kood keelati 2011. aastal eesm\u00e4rgiga asendada see millegi paremaga \u2013 Western Digital unustas lihtsalt uue koodi sisse kleepida.<\/p>\n L\u00e4hme natuke tagasi. Eelmisel n\u00e4dalal avastasid My Book Live’i kasutajad, et nende Interneti-\u00fchendusega salvestusseadmed olid kaotanud k\u00f5ik andmed. Kaugjuhtimisega k\u00e4ivitatud tehaseseadetele l\u00e4htestamine p\u00f5hjustas andmete kadumise.<\/p>\n Turvaekspertide anal\u00fc\u00fcs on sellest ajast alates n\u00e4idanud, et h\u00e4kkerid kasutasid korraga \u00e4ra kahte erinevat My Book Live’i turvaauku<\/a> ; \u00fcks \u00e4rakasutamine (nimega CVE-2018-18472) j\u00e4ttis draivid t\u00e4ielikuks kaugjuhtimiseks avatuks ja seda kasutati botneti loomiseks, samas kui teine \u200b\u200b\u200b\u200bkasutusv\u00f5imalus v\u00f5imaldas h\u00e4kkeritel tehase l\u00e4htestamist kaugl\u00e4htestusteta, ilma et oleks vaja sisselogimismandaate.<\/p>\n Need turvaeksperdid leidsid, et Western Digital oli tahtlikult keelanud tehase l\u00e4htestamise autentimiskoodi, mis oleks sundinud h\u00e4kkereid sisestama iga My Book Live’i seadme sisselogimisandmeid, mida nad \u00fcritasid vormindada. Western Digitali uus tugipostitus<\/a> kinnitab, et see kood keelati 2011. aastal osana refaktorist \u2013 p\u00f5him\u00f5tteliselt laiaulatuslikust versiooniuuendusest aluskoodile. Kuigi My Book Live s\u00fcsteemi teistes osades viidi see refaktor \u00f5igesti l\u00e4bi, ei \u00f5nnestunud tehaseseadetele l\u00e4htestatud autentimiskoodi asendada.<\/p>\n Oleme kindlaks teinud, et tehaseseadetele l\u00e4htestamise autentimata haavatavus lisati My Book Live’i 2011. aasta aprillis osana seadme p\u00fcsivara autentimisloogika \u00fcmberkujundamisest. Refaktor tsentraliseeris autentimisloogika \u00fchte faili, mis on seadmes olemas kui include\/component_config.php ja sisaldab iga l\u00f5pp-punkti jaoks n\u00f5utavat autentimist\u00fc\u00fcpi. Selles refaktoris oli s\u00fcsteemi_factory_restore.php autentimisloogika \u00f5igesti keelatud, kuid faili komponent_config.php ei lisatud sobivat autentimist\u00fc\u00fcpi ADMIN_AUTH_LAN_ALL, mille tulemuseks oli haavatavus. Sama refaktor eemaldas teistest failidest autentimisloogika ja lisas faili komponent_config.php \u00f5igesti vastava autentimist\u00fc\u00fcbi.<\/p>\n<\/blockquote>\n Western Digital t\u00e4psustab selle r\u00fcnnaku m\u00f5ningaid \u00fcksikasju. Kuigi turvaanal\u00fc\u00fctikud viitavad sellele, et h\u00e4kker kasutas tehase l\u00e4htestamise haavatavust, et saboteerida kasvavat My Book Live’i botneti (mida v\u00f5imaldas eraldiseisev CVE-2018-18472 kaugjuhtimispuldi \u00e4rakasutamine), siis Western Digital v\u00e4idab, et m\u00f5lemad r\u00fcnnakud viidi sageli l\u00e4bi \u00dcks IP-aadress. See viitab sellele, et \u00fcks h\u00e4kker kasutas mingil p\u00f5hjusel \u00e4ra m\u00f5lemat turvaauku.<\/p>\n Kogu selle segaduse jooksul on paljud inimesed s\u00fc\u00fcdistanud My Book Live’i kasutajaid selles, et nad on j\u00e4tnud end r\u00fcnnakuteks avatuks. L\u00f5ppude l\u00f5puks pole My Book Live’i seadmeid alates 2015. aastast v\u00e4rskendatud, seega pole need loomulikult ohtlikud! Kuid tegelikkuses olid My Book Live draivid tehase l\u00e4htestamise ja CVE-2018-18472 kaugjuhtimispuldi \u00e4rakasutamise suhtes haavatavad juba ammu enne seda, kui Western Digital l\u00f5petas tarkvaratoe.<\/p>\n Western Digital \u00fctleb, et pakub alates juulist My Book Live’i omanikele tasuta andmete taastamise teenuseid ja tasuta My Cloud seadet. Kui kasutate endiselt My Book Live’i seadet, eemaldage see vooluv\u00f5rgust ja \u00e4rge seda enam kunagi kasutage.<\/p>\n Allikas: Western Digital<\/a><\/p>\n\n