Western digital<\/p>\n
Du kommer inte att tro det h\u00e4r. Western Digital bekr\u00e4ftar<\/a> nu att den har inaktiverat autentiseringskoden som borde ha f\u00f6rhindrat<\/a> f\u00f6rra veckans My Book Live fabriks\u00e5terst\u00e4llning. Vad v\u00e4rre \u00e4r, den h\u00e4r koden inaktiverades 2011 med avsikten att ers\u00e4tta den med n\u00e5got b\u00e4ttre \u2014 Western Digital gl\u00f6mde helt enkelt att klistra in den nya koden.<\/p>\n L\u00e5t oss backa lite. F\u00f6rra veckan uppt\u00e4ckte My Book Live-anv\u00e4ndare att deras internetanslutna lagringsenheter hade f\u00f6rlorat all data. En fabriks\u00e5terst\u00e4llning, utl\u00f6st p\u00e5 distans, orsakade denna dataf\u00f6rlust.<\/p>\n Analyser av s\u00e4kerhetsexperter har sedan dess visat att hackare utnyttjade tv\u00e5 separata My Book Live-s\u00e5rbarheter<\/a> samtidigt; en exploatering (kallad CVE-2018-18472) l\u00e4mnade diskarna \u00f6ppna f\u00f6r fullst\u00e4ndig fj\u00e4rrkontroll och anv\u00e4ndes f\u00f6r att bygga ett botn\u00e4t, medan en annan exploatering gjorde det m\u00f6jligt f\u00f6r hackare att utf\u00f6ra fj\u00e4rr\u00e5terst\u00e4llning av fabrik utan behov av inloggningsuppgifter.<\/p>\n Dessa s\u00e4kerhetsexperter fann att Western Digital avsiktligt hade inaktiverat autentiseringskoden f\u00f6r fabriks\u00e5terst\u00e4llning, vilket skulle ha tvingat hackare att ange inloggningsinformation f\u00f6r varje My Book Live-enhet de f\u00f6rs\u00f6kte formatera. Ett nytt supportinl\u00e4gg<\/a> fr\u00e5n Western Digital bekr\u00e4ftar att den h\u00e4r koden inaktiverades 2011 som en del av en refactor\u2014i princip en storskalig uppgradering till underliggande kod. \u00c4ven om denna refactor utf\u00f6rdes korrekt i andra delar av My Book Live-systemet, misslyckades den med att ers\u00e4tta den fabriks\u00e5terst\u00e4llda autentiseringskoden.<\/p>\n Vi har fastst\u00e4llt att s\u00e5rbarheten f\u00f6r oautentiserad fabriks\u00e5terst\u00e4llning introducerades till My Book Live i april 2011 som en del av en refaktor f\u00f6r autentiseringslogik i enhetens fasta programvara. Refactor centraliserade autentiseringslogiken till en enda fil, som finns p\u00e5 enheten som include\/component_config.php och inneh\u00e5ller den autentiseringstyp som kr\u00e4vs av varje slutpunkt. I denna refactor var autentiseringslogiken i system_factory_restore.php korrekt inaktiverad, men l\u00e4mplig autentiseringstyp ADMIN_AUTH_LAN_ALL lades inte till i component_config.php, vilket resulterade i s\u00e5rbarheten. Samma refactor tog bort autentiseringslogik fr\u00e5n andra filer och lade till korrekt autentiseringstyp till filen component_config.php.<\/p>\n<\/blockquote>\n Western Digital forts\u00e4tter med att klarg\u00f6ra n\u00e5gra detaljer om denna attack. Medan s\u00e4kerhetsanalytiker antyder att en hackare utnyttjade fabriks\u00e5terst\u00e4llningss\u00e5rbarheten f\u00f6r att sabotera det v\u00e4xande My Book Live-botn\u00e4tet (som aktiverades av den separata CVE-2018-18472 "fj\u00e4rrkontroll"), s\u00e4ger Western Digital att b\u00e5da attackerna ofta utf\u00f6rdes fr\u00e5n en enda IP-adress. Detta tyder p\u00e5 att en hackare utnyttjade b\u00e5da s\u00e5rbarheterna av n\u00e5gon anledning.<\/p>\n Under hela den h\u00e4r r\u00f6ran har m\u00e5nga m\u00e4nniskor anklagat My Book Live-anv\u00e4ndare f\u00f6r att de l\u00e4mnat sig sj\u00e4lva \u00f6ppna f\u00f6r attacker. N\u00e4r allt kommer omkring har My Book Live-enheter inte uppdaterats sedan 2015, s\u00e5 de \u00e4r naturligtvis os\u00e4kra! Men i verkligheten var My Book Live-enheter s\u00e5rbara f\u00f6r fabriks\u00e5terst\u00e4llningen och CVE-2018-18472 "fj\u00e4rrkontroll"-exploater l\u00e5ngt innan Western Digital avslutade programvarust\u00f6det.<\/p>\n Western Digital s\u00e4ger att de kommer att erbjuda gratis data\u00e5terst\u00e4llningstj\u00e4nster och en gratis My Cloud-enhet till My Book Live-\u00e4gare fr\u00e5n och med juli. Om du fortfarande anv\u00e4nder en My Book Live-enhet, koppla ur den och anv\u00e4nd den aldrig igen.<\/p>\n K\u00e4lla: Western Digital<\/a><\/p>\n\n