[Информационная безопасность, Компьютерное железо, Накопители] Ещё одна 0-Day-уязвимость угрожает многим пользователям Western Digital (перевод)
Автор
Сообщение
news_bot ®
Стаж: 6 лет 9 месяцев
Сообщений: 27286
В прошлом месяце из-за бага в линейке продуктов, которую компания прекратила поддерживать в 2015 году, а также из-за ранее неизвестной уязвимости «нулевого дня» бесчисленное количество покупателей Western Digital потеряло данные на сетевых накопителях MyBook Live. Но подобные серьёзные уязвимости «нулевого дня» присутствуют в гораздо большем количестве более новых сетевых накопителей Western Digital MyCloud. Они не устраняются у тех покупателей, которые не могут или не желают обновляться до последней версии операционной системы.
Проблема с удалённым исполнением кода присуща всем NAS-устройствам Western Digital с операционной системой MyCloud OS 3, которую компания перестала поддерживать только недавно.
Исследователи Радек Домански и Педро Рибейро изначально планировали поделиться своими открытиями в прошлом году на соревнованиях по хакингу Pwn2Own в Токио. Но за несколько дней до мероприятия Western Digital выпустила MyCloud OS 5, в которой был устранён найденный ими баг. Это обновление, по сути, уничтожило их шансы на конкуренцию в Pwn2Own, ведь для участия требуется, чтобы эксплойты работали против самых свежих версий прошивок или ПО, поддерживаемых целевым устройством.
Тем не менее, в феврале 2021 эта пара исследователей опубликовала на YouTube подробное видео, в котором задокументирован процесс обнаружения цепочки слабых мест, позволяющей нападающему удалённо обновлять прошивку уязвимого устройства зловредным бэкдором при помощи учётной записи пользователя с низким уровнем привилегий и пустым паролем.
Извините, данный ресурс не поддреживается. :(
Исследователи сообщили, что Western Digital ни разу не ответила на их отчёты. В заявлении, переданном сайту KrebsOnSecurity, Western Digital сообщила, что получила их отчёт после Pwn2Own Tokyo 2020, но на тот момент уязвимость, о которой говорилось в отчёте, уже была устранена выпуском My Cloud OS 5.
«Отправленная нам корреспонденция подтверждала, что команда исследователей планирует опубликовать подробности этой уязвимости и просит связаться с ней, если у нас будут вопросы», — сообщила Western Digital. «Но у нас не было вопросов, поэтому мы не ответили. С тех пор мы изменили процесс коммуникаций и стали реагировать на каждый отчёт, чтобы избежать в дальнейшем подобных недопониманий. Мы очень серьёзно относимся к отчётам сообщества исследования безопасности и проводим расследование сразу после их получения».
Western Digital проигнорировала вопросы о том, были ли решены в OS 3 проблемы, обнаруженные Домански и Рибейро. В заявлении, опубликованном на сайте компании 12 марта 2021 года, говорится, что компания больше не будет разрабатывать обновления безопасности для прошивки MyCloud OS 3.
«Мы крайне рекомендуем перейти на прошивку My Cloud OS5», — написано в заявлении. «Если ваше устройство невозможно обновить до My Cloud OS 5, то мы рекомендуем совершить апгрейд на другой продукт My Cloud с поддержкой My Cloud OS 5. Дополнительная информация представлена здесь». Список устройств MyCloud, способных поддерживать OS 5, находится здесь.
Но по информации Домански, OS 5 является полностью переписанной операционной системой Western Digital, из-за чего в ней отсутствует часть наиболее популярных особенностей и функций OS3.
«Они сломали большую часть функциональности, поэтому некоторые пользователи могут и не решиться мигрировать на OS 5».
Учитывая это, исследователи разработали и выпустили собственный патч, устраняющий найденные ими в OS 3 уязвимости (патч необходимо переустанавливать при каждом перезапуске устройства). Western Digital сообщила, что в она курсе того, что сторонние разработчики предлагают патчи безопасности для My Cloud OS 3.
«Мы не проверяли ни один из таких патчей и не можем обеспечивать их поддержку», — заявила компания.
Фрагмент видео, демонстрирующего, как исследователи удалённо загружают свою зловредную прошивку через уязвимость «нулевого дня» MyCloud OS 3.
Домански утверждает, что пользователи MyCloud версии OS 3 могут практически устранить угрозу этой атаки, сделав так, чтобы доступ к устройствам нельзя было получать удалённо через Интернет. Устройства MyCloud позволяют покупателям очень легко получать доступ к данным удалённо, но в то же время это подвергает их риску атак наподобие произошедшей в прошлом месяце.
«К счастью, многие пользователи не раскрывают интерфейс в Интернет. Но учитывая количество постов на странице поддержки Western Digital, связанных с OS3, можно предположить, что пользовательская база таких устройств по-прежнему значительна. Складывается такое ощущение, что Western Digital без предупреждений резко перешла на OS5, оставив всех пользователей без поддержки».
Дэн Гудин из Ars Technica написал потрясающий глубокий обзор другой уязвимости «нулевого дня», приведшей к массовой атаке на устройства MyBook Live, которые Western Digital прекратила поддерживать в 2015 году. В ответ на статью Гудина Western Digital признала, что уязвимость возникла из-за того, что разработчик Western Digital удалил код, требующий пароля пользователя для выполнения сброса до заводских настроек.
Столкнувшись с критикой разгневанных пользователей, Western Digital также обязалась начиная с этого месяца предоставлять услуги по восстановлению данных тем пользователям, которых затронула эта проблема. «Кроме того, покупатели MyBook Live смогут участвовать в программе trade-in с целью апгрейда своих устройств MyCloud. Представительница компании сообщила, что услуги по восстановлению данных будут бесплатными», — написал Гудин.
Если нападающие смогут использовать и этот баг OS 3, то, возможно, Western Digital вскоре придётся предоставлять услуги восстановления данных и программу trade-in гораздо большему количеству клиентов.
На правах рекламы
VDS с NVMe хранилищем — это именно про виртуальные серверы от нашей компании.
Уже давно используем исключительно быстрые серверные накопители от Intel, мы не экономим на железе, только брендовое оборудование и одни из лучших дата-центров в России и ЕС. Поспешите проверить ;)
Подписывайтесь на наш чат в Telegram.
оригинал
===========
Источник:
habr.com
===========
===========
Автор оригинала: Brian Krebs
===========Похожие новости:
- [Информационная безопасность, Мессенджеры, Законодательство в IT] Telegram начал блокировать один из крупнейших сервисов для частного поиска данных граждан «Глаз Бога»
- [Open source, Программирование, Учебный процесс в IT] Как я учил студентов Северной Кореи разрабатывать ПО с открытым исходным кодом (перевод)
- [Научно-популярное, Видеотехника] Видеосалоны. Ретроспектива
- [Информационная безопасность, Администрирование доменных имен, Логические игры] Как у меня увели домен. Продолжение
- [Компьютерное железо, Настольные компьютеры, IT-компании] Gigabyte представила похожий на видеокарту твердотельный накопитель объёмом 32 ТБ и со скоростью чтения 28 ГБ/с
- [Научно-популярное, Космонавтика, Астрономия] Атомные часы DSAC от НАСА прошли первую проверку в космосе
- [Информационная безопасность, Системное администрирование, Сетевые технологии, Софт, IT-компании] Исследователи кибербезопасности случайно раскрыли детали уязвимости нулевого дня Windows — PrintNightmare
- [Информационная безопасность] ТОП-3 ИБ-событий недели по версии Jet CSIRT
- [Научно-популярное] Добро пожаловать в мир интровертов (перевод)
- [Информационная безопасность, PostgreSQL, Go] Избавляемся от паролей в репе с кодом с помощью HashiCorp Vault Dynamic Secrets
Теги для поиска: #_informatsionnaja_bezopasnost (Информационная безопасность), #_kompjuternoe_zhelezo (Компьютерное железо), #_nakopiteli (Накопители), #_nas, #_western_digital, #_mybook_live, #_hranilische_dannyh (хранилище данных), #_nakopiteli (накопители), #_my_cloud_os, #_blog_kompanii_vdsina.ru (
Блог компании VDSina.ru
), #_informatsionnaja_bezopasnost (
Информационная безопасность
), #_kompjuternoe_zhelezo (
Компьютерное железо
), #_nakopiteli (
Накопители
)
Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Текущее время: 22-Ноя 02:38
Часовой пояс: UTC + 5
| Автор | Сообщение |
|---|---|
|
news_bot ®
Стаж: 6 лет 9 месяцев |
|
 В прошлом месяце из-за бага в линейке продуктов, которую компания прекратила поддерживать в 2015 году, а также из-за ранее неизвестной уязвимости «нулевого дня» бесчисленное количество покупателей Western Digital потеряло данные на сетевых накопителях MyBook Live. Но подобные серьёзные уязвимости «нулевого дня» присутствуют в гораздо большем количестве более новых сетевых накопителей Western Digital MyCloud. Они не устраняются у тех покупателей, которые не могут или не желают обновляться до последней версии операционной системы. Проблема с удалённым исполнением кода присуща всем NAS-устройствам Western Digital с операционной системой MyCloud OS 3, которую компания перестала поддерживать только недавно. Исследователи Радек Домански и Педро Рибейро изначально планировали поделиться своими открытиями в прошлом году на соревнованиях по хакингу Pwn2Own в Токио. Но за несколько дней до мероприятия Western Digital выпустила MyCloud OS 5, в которой был устранён найденный ими баг. Это обновление, по сути, уничтожило их шансы на конкуренцию в Pwn2Own, ведь для участия требуется, чтобы эксплойты работали против самых свежих версий прошивок или ПО, поддерживаемых целевым устройством. Тем не менее, в феврале 2021 эта пара исследователей опубликовала на YouTube подробное видео, в котором задокументирован процесс обнаружения цепочки слабых мест, позволяющей нападающему удалённо обновлять прошивку уязвимого устройства зловредным бэкдором при помощи учётной записи пользователя с низким уровнем привилегий и пустым паролем. Извините, данный ресурс не поддреживается. :( Исследователи сообщили, что Western Digital ни разу не ответила на их отчёты. В заявлении, переданном сайту KrebsOnSecurity, Western Digital сообщила, что получила их отчёт после Pwn2Own Tokyo 2020, но на тот момент уязвимость, о которой говорилось в отчёте, уже была устранена выпуском My Cloud OS 5. «Отправленная нам корреспонденция подтверждала, что команда исследователей планирует опубликовать подробности этой уязвимости и просит связаться с ней, если у нас будут вопросы», — сообщила Western Digital. «Но у нас не было вопросов, поэтому мы не ответили. С тех пор мы изменили процесс коммуникаций и стали реагировать на каждый отчёт, чтобы избежать в дальнейшем подобных недопониманий. Мы очень серьёзно относимся к отчётам сообщества исследования безопасности и проводим расследование сразу после их получения». Western Digital проигнорировала вопросы о том, были ли решены в OS 3 проблемы, обнаруженные Домански и Рибейро. В заявлении, опубликованном на сайте компании 12 марта 2021 года, говорится, что компания больше не будет разрабатывать обновления безопасности для прошивки MyCloud OS 3. «Мы крайне рекомендуем перейти на прошивку My Cloud OS5», — написано в заявлении. «Если ваше устройство невозможно обновить до My Cloud OS 5, то мы рекомендуем совершить апгрейд на другой продукт My Cloud с поддержкой My Cloud OS 5. Дополнительная информация представлена здесь». Список устройств MyCloud, способных поддерживать OS 5, находится здесь. Но по информации Домански, OS 5 является полностью переписанной операционной системой Western Digital, из-за чего в ней отсутствует часть наиболее популярных особенностей и функций OS3. «Они сломали большую часть функциональности, поэтому некоторые пользователи могут и не решиться мигрировать на OS 5». Учитывая это, исследователи разработали и выпустили собственный патч, устраняющий найденные ими в OS 3 уязвимости (патч необходимо переустанавливать при каждом перезапуске устройства). Western Digital сообщила, что в она курсе того, что сторонние разработчики предлагают патчи безопасности для My Cloud OS 3. «Мы не проверяли ни один из таких патчей и не можем обеспечивать их поддержку», — заявила компания.  Фрагмент видео, демонстрирующего, как исследователи удалённо загружают свою зловредную прошивку через уязвимость «нулевого дня» MyCloud OS 3. Домански утверждает, что пользователи MyCloud версии OS 3 могут практически устранить угрозу этой атаки, сделав так, чтобы доступ к устройствам нельзя было получать удалённо через Интернет. Устройства MyCloud позволяют покупателям очень легко получать доступ к данным удалённо, но в то же время это подвергает их риску атак наподобие произошедшей в прошлом месяце. «К счастью, многие пользователи не раскрывают интерфейс в Интернет. Но учитывая количество постов на странице поддержки Western Digital, связанных с OS3, можно предположить, что пользовательская база таких устройств по-прежнему значительна. Складывается такое ощущение, что Western Digital без предупреждений резко перешла на OS5, оставив всех пользователей без поддержки». Дэн Гудин из Ars Technica написал потрясающий глубокий обзор другой уязвимости «нулевого дня», приведшей к массовой атаке на устройства MyBook Live, которые Western Digital прекратила поддерживать в 2015 году. В ответ на статью Гудина Western Digital признала, что уязвимость возникла из-за того, что разработчик Western Digital удалил код, требующий пароля пользователя для выполнения сброса до заводских настроек. Столкнувшись с критикой разгневанных пользователей, Western Digital также обязалась начиная с этого месяца предоставлять услуги по восстановлению данных тем пользователям, которых затронула эта проблема. «Кроме того, покупатели MyBook Live смогут участвовать в программе trade-in с целью апгрейда своих устройств MyCloud. Представительница компании сообщила, что услуги по восстановлению данных будут бесплатными», — написал Гудин. Если нападающие смогут использовать и этот баг OS 3, то, возможно, Western Digital вскоре придётся предоставлять услуги восстановления данных и программу trade-in гораздо большему количеству клиентов. На правах рекламы VDS с NVMe хранилищем — это именно про виртуальные серверы от нашей компании. Уже давно используем исключительно быстрые серверные накопители от Intel, мы не экономим на железе, только брендовое оборудование и одни из лучших дата-центров в России и ЕС. Поспешите проверить ;) Подписывайтесь на наш чат в Telegram.  оригинал =========== Источник: habr.com =========== =========== Автор оригинала: Brian Krebs ===========Похожие новости:
Блог компании VDSina.ru ), #_informatsionnaja_bezopasnost ( Информационная безопасность ), #_kompjuternoe_zhelezo ( Компьютерное железо ), #_nakopiteli ( Накопители ) |
|
Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Текущее время: 22-Ноя 02:38
Часовой пояс: UTC + 5