Gravi vulnerabilità nei NAS Western Digital MyCloud: c'è anche una backdoor

Tutti i possessori di un NAS Western Digital MyCloud è bene procedano immediatamente al download e all’installazione delle nuove versioni del firmware, appena rilasciate dal produttore.
Un ricercatore ha infatti scoperto alcuni gravi bug di sicurezza, peraltro facilmente sfruttabili da un utente malintenzionato, oltre a un account altrettanto aggredibile che rappresenta una vera e propria “porta sul retro” per l’accesso ai NAS Western Digital, ai dati in essi conservati e all’intera rete locale.

Come si apprende esaminando il contenuto del resoconto tecnico elaborato da James Bercegay (GulfTech), ad essere vulnerabili sono i seguenti server NAS Western Digital: MyCloud, MyCloudMirror, My Cloud Gen 2, My Cloud PR2100, My Cloud PR4100, My Cloud EX2 Ultra, My Cloud EX2, My Cloud EX4, My Cloud EX2100, My Cloud EX4100, My Cloud DL2100, My Cloud DL4100.

Una delle vulnerabilità permette a un aggressore di caricare file sul NAS, compresi nuovi script PHP capaci di consentigli l’acquisizione del pieno controllo sul dispositivo; un’altra, invece, consente di avviare qualunque comando sul device.
Un account integrato nel software del NAS Western Digital, inoltre, funge da backdoor: inserendo il nome utente mydlinkBRionyg e la password abc12345cba, un aggressore può accedere al dispositivo e acquisire i diritti di amministratore sfruttando un’ulteriore falla di sicurezza.

Bercegay ha spiegato che i problemi di sicurezza possono essere sfruttati anche da remoto, per esempio inserendo in una pagina web malevola una tag “pixel” contenente un URL appositamente congegnato per far leva sulla vulnerabilità.
Ecco perché le vulnerabilità, scoperte a giugno 2017 e subito notificate a Western Digital (che ha adesso rilasciato gli aggiornamenti di sicurezza), vengono definite wormable: possono essere infatti sfruttate per condurre attacchi su vasta scala trasformando i NAS in strumenti utilizzabili per condurre altre aggressioni (oltre che per spiare e sottrarre i dati altrui).