Western Digital mówi, że miało na celu dodanie kodu, aby zapobiec hackowaniu mojej książki na żywo, ale zapomniałem
Western Digital
Nie uwierzysz w to. Western Digital potwierdza teraz, że wyłączył kod uwierzytelniający, który powinien był zapobiec exploitowi resetu do ustawień fabrycznych My Book Live w zeszłym tygodniu. Co gorsza, ten kod został wyłączony w 2011 roku z zamiarem zastąpienia go czymś lepszym — Western Digital po prostu zapomniał wkleić nowy kod.
Cofnijmy się trochę. W zeszłym tygodniu użytkownicy My Book Live odkryli, że ich dyski pamięci masowej podłączone do Internetu utraciły wszystkie dane. Przywrócenie ustawień fabrycznych, uruchomione zdalnie, spowodowało utratę danych.
Analiza przeprowadzona przez ekspertów ds. bezpieczeństwa wykazała, że hakerzy wykorzystywali jednocześnie dwie oddzielne luki w zabezpieczeniach My Book Live; jeden exploit (o nazwie CVE-2018-18472) pozostawił dyski otwarte na pełną zdalną kontrolę i został wykorzystany do zbudowania botnetu, podczas gdy inny exploit umożliwiał hakerom zdalne przywracanie ustawień fabrycznych bez konieczności podawania danych logowania.
Eksperci ds. bezpieczeństwa odkryli, że Western Digital celowo wyłączył kod uwierzytelniający przywracania ustawień fabrycznych, co zmusiłoby hakerów do wprowadzenia danych logowania dla każdego urządzenia My Book Live, które próbowali sformatować. Nowy wpis pomocy technicznej firmy Western Digital potwierdza, że ten kod został wyłączony w 2011 r. w ramach refaktoryzacji — w zasadzie szeroko zakrojonego uaktualnienia do kodu bazowego. Chociaż ta refaktoryzacja została przeprowadzona prawidłowo w innych częściach systemu My Book Live, nie zastąpiła ona kodu uwierzytelniającego przywracania ustawień fabrycznych.
Ustaliliśmy, że luka w zabezpieczeniach nieuwierzytelnionego przywracania ustawień fabrycznych została wprowadzona do urządzenia My Book Live w kwietniu 2011 r. w ramach refaktoryzacji logiki uwierzytelniania w oprogramowaniu sprzętowym urządzenia. Refaktor scentralizował logikę uwierzytelniania w pojedynczym pliku, który jest obecny na urządzeniu jako include/component_config.php i zawiera typ uwierzytelniania wymagany przez każdy punkt końcowy. W tym refaktorze logika uwierzytelniania w system_factory_restore.php została poprawnie wyłączona, ale odpowiedni typ uwierzytelniania ADMIN_AUTH_LAN_ALL nie został dodany do component_config.php, co spowodowało usterkę. Ten sam refaktor usunął logikę uwierzytelniania z innych plików i poprawnie dodał odpowiedni typ uwierzytelniania do pliku component_config.php.
Western Digital wyjaśnia kilka szczegółów tego ataku. Podczas gdy analitycy bezpieczeństwa sugerują, że haker wykorzystał lukę w przywracaniu ustawień fabrycznych do sabotażu rosnącego botnetu My Book Live (umożliwił go oddzielny exploit CVE-2018-18472 „zdalne sterowanie"), Western Digital twierdzi, że oba ataki były często wykonywane z pojedynczy adres IP. Sugeruje to, że jeden haker z jakiegoś powodu wykorzystał obie luki.
W całym tym bałaganie wiele osób obwiniało użytkowników My Book Live za narażanie się na ataki. W końcu urządzenia My Book Live nie były aktualizowane od 2015 roku, więc oczywiście są niebezpieczne! Jednak w rzeczywistości dyski My Book Live były podatne na przywracanie ustawień fabrycznych i exploity CVE-2018-18472 „zdalne sterowanie” na długo przed zakończeniem wsparcia oprogramowania przez Western Digital.
Western Digital twierdzi, że od lipca zaoferuje właścicielom My Book Live bezpłatne usługi odzyskiwania danych i bezpłatne urządzenie My Cloud. Jeśli nadal używasz urządzenia My Book Live, odłącz je i nigdy więcej nie używaj.
Źródło: Western Digital