Num\u00e9rique occidental<\/p>\n
Vous n’allez pas le croire. Western Digital confirme<\/a> maintenant qu’il a d\u00e9sactiv\u00e9 le code d’authentification qui aurait d\u00fb emp\u00eacher<\/a> l’exploit de r\u00e9initialisation d’usine My Book Live de la semaine derni\u00e8re. Pire encore, ce code a \u00e9t\u00e9 d\u00e9sactiv\u00e9 en 2011 dans le but de le remplacer par quelque chose de mieux – Western Digital a tout simplement oubli\u00e9 de coller le nouveau code.<\/p>\n Revenons un peu en arri\u00e8re. La semaine derni\u00e8re, les utilisateurs de My Book Live ont d\u00e9couvert que leurs disques de stockage connect\u00e9s \u00e0 Internet avaient perdu toutes leurs donn\u00e9es. Une r\u00e9initialisation d’usine, d\u00e9clench\u00e9e \u00e0 distance, a provoqu\u00e9 cette perte de donn\u00e9es.<\/p>\n L’analyse par des experts en s\u00e9curit\u00e9 a depuis montr\u00e9 que les pirates exploitaient deux vuln\u00e9rabilit\u00e9s distinctes de My Book Live<\/a> en m\u00eame temps ; un exploit (appel\u00e9 CVE-2018-18472) a laiss\u00e9 les lecteurs ouverts \u00e0 un contr\u00f4le \u00e0 distance complet et a \u00e9t\u00e9 utilis\u00e9 pour cr\u00e9er un botnet, tandis qu’un autre exploit a permis aux pirates d’ex\u00e9cuter des r\u00e9initialisations d’usine \u00e0 distance sans avoir besoin d’identifiants de connexion.<\/p>\n Ces experts en s\u00e9curit\u00e9 ont d\u00e9couvert que Western Digital avait intentionnellement d\u00e9sactiv\u00e9 le code d’authentification de r\u00e9initialisation d’usine, ce qui aurait oblig\u00e9 les pirates \u00e0 saisir les informations de connexion pour chaque appareil My Book Live qu’ils tentaient de formater. Un nouveau message d’assistance<\/a> de Western Digital confirme que ce code a \u00e9t\u00e9 d\u00e9sactiv\u00e9 en 2011 dans le cadre d’un refactor, essentiellement une mise \u00e0 niveau \u00e0 grande \u00e9chelle du code sous-jacent. Bien que ce refactoring ait \u00e9t\u00e9 correctement effectu\u00e9 dans d’autres parties du syst\u00e8me My Book Live, il n’a pas r\u00e9ussi \u00e0 remplacer le code d’authentification de r\u00e9initialisation d’usine.<\/p>\n Nous avons d\u00e9termin\u00e9 que la vuln\u00e9rabilit\u00e9 de r\u00e9initialisation d’usine non authentifi\u00e9e a \u00e9t\u00e9 introduite dans le My Book Live en avril 2011 dans le cadre d’une refonte de la logique d’authentification dans le micrologiciel de l’appareil. Le refactor a centralis\u00e9 la logique d’authentification dans un seul fichier, qui est pr\u00e9sent sur l’appareil sous le nom includes\/component_config.php et contient le type d’authentification requis par chaque point de terminaison. Dans ce refactor, la logique d’authentification dans system_factory_restore.php a \u00e9t\u00e9 correctement d\u00e9sactiv\u00e9e, mais le type d’authentification appropri\u00e9 ADMIN_AUTH_LAN_ALL n’a pas \u00e9t\u00e9 ajout\u00e9 \u00e0 component_config.php, ce qui a entra\u00een\u00e9 la vuln\u00e9rabilit\u00e9. Le m\u00eame refactor a supprim\u00e9 la logique d’authentification des autres fichiers et a correctement ajout\u00e9 le type d’authentification appropri\u00e9 au fichier component_config.php.<\/p>\n<\/blockquote>\n Western Digital poursuit en clarifiant quelques d\u00e9tails de cette attaque. Alors que les analystes de la s\u00e9curit\u00e9 sugg\u00e8rent qu’un pirate a exploit\u00e9 la vuln\u00e9rabilit\u00e9 de r\u00e9initialisation d’usine pour saboter le botnet croissant My Book Live (qui a \u00e9t\u00e9 activ\u00e9 par l’exploit de "contr\u00f4le \u00e0 distance" distinct CVE-2018-18472), Western Digital affirme que les deux attaques ont souvent \u00e9t\u00e9 ex\u00e9cut\u00e9es \u00e0 partir d’un adresse IP unique. Cela sugg\u00e8re qu’un pirate a profit\u00e9 des deux vuln\u00e9rabilit\u00e9s, pour une raison quelconque.<\/p>\n Tout au long de tout ce g\u00e2chis, de nombreuses personnes ont reproch\u00e9 aux utilisateurs de My Book Live de s’exposer aux attaques. Apr\u00e8s tout, les appareils My Book Live n’ont pas \u00e9t\u00e9 mis \u00e0 jour depuis 2015, donc, bien s\u00fbr, ils ne sont pas s\u00fbrs! Mais en r\u00e9alit\u00e9, les disques My Book Live \u00e9taient vuln\u00e9rables \u00e0 la r\u00e9initialisation d’usine et aux exploits de "t\u00e9l\u00e9commande" CVE-2018-18472 bien avant que Western Digital ne mette fin au support logiciel.<\/p>\n Western Digital annonce qu’il offrira des services de r\u00e9cup\u00e9ration de donn\u00e9es gratuits et un appareil My Cloud gratuit aux propri\u00e9taires de My Book Live \u00e0 partir de juillet. Si vous utilisez toujours un appareil My Book Live, veuillez le d\u00e9brancher et ne plus jamais l’utiliser.<\/p>\n Source: Western Digital<\/a><\/p>\n\n