Western Digital corrige falha que dá acesso a HDs em rede, mas põe outra no lugar
Você tem um NAS da Western Digital? É bom ficar atento, então: o Exploitee.rs, grupo especializado em segurança, afirma que quase todos os produtos atuais da linha My Cloud têm vulnerabilidades bem sérias. O pior é que a principal delas chegou a ser corrigida, mas essa correção também veio com falha.
Para comprovar o problema, a equipe do Exploitee.rs usou um NAS My Cloud Pro Series PR4100. As falhas estão em scripts mal implementados, basicamente. Por meio deles, a empresa conseguiu acessar a unidade remotamente usando alguns comandos na interface web.
O problema é mesmo grave: o sistema acaba possibilitando acesso remoto sem login, permitindo que o invasor não só capture arquivos que deveriam estar protegidos, mas também altere dados ou utilize o equipamento para armazenar malwares, por exemplo.
A Western Digital liberou uma atualização de firmware que corrige a vulnerabilidade que permite ao atacante acessar a unidade pulando a etapa de login. Só que essa correção também tem uma falha que dá acesso não autorizado ao sistema.
Segundo o Exploitee.rs, entre os equipamentos vulneráveis estão os seguintes modelos:
- My Cloud
- My Cloud Gen 2
- My Cloud Mirror
- My Cloud PR2100
- My Cloud PR4100
- My Cloud EX2 Ultra
- My Cloud EX2
- My Cloud EX4
- My Cloud EX2100
- My Cloud EX4100
- My Cloud DL2100
- My Cloud DL4100
Em circunstâncias como essa, o ideal é que o grupo notifique a companhia responsável, aguarde a liberação de correções e só então divulgue o problema. Assim, os usuários que ainda não atualizaram o equipamento podem fazê-lo imediatamente.
No entanto, o Exploitee.rs afirma que fez a divulgação antecipadamente para pressionar a Western Digital a liberar as correções o quanto antes. Segundo a equipe que estudou as falhas, a fabricante não costuma tratar questões de segurança com a devida importância.
A Western Digital ainda não se pronunciou sobre o assunto.
Com informações: Engadget
