Western Digital très discret concernant une vulnérabilité, non corrigée, dans MyCloud !

Cybersécurité

Western Digital n’a pas réussi à corriger une vulnérabilité sérieuse au niveau de ses disques MyCloud NAS, et ce malgré le fait que l’entreprise avait été mise au courant 1 an auparavant !

mycloud

Selon certains experts, Western Digital n’a pas réussi à corriger une vulnérabilité sérieuse au niveau de ses disques MyCloud NAS, dont l’existence avait pourtant été portée à sa connaissance depuis 1 an.

Pire encore, cette situation délicate apparaît malgré le fait que le problème ait été rendu public lors de DEF CON 25 en juillet de l’année dernière.

La dernière faille de sécurité, découverte de manière indépendante par des chercheurs de Securify et Exploitee.rs, est un contournement d’authentification qui pourrait donner à un attaquant local un contrôle complet sur les lecteurs.

Les chercheurs ont démarré une session administrateur liée à leur adresse IP, puis ont trompé le lecteur en lui faisant croire que celle-ci était authentifié en définissant un cookie de type username=admin.

Cette action a été possible car :

Le module CGI network_mgr.cgi contient une commande appelée cgi_get_ipv6 qui démarre une session administrateur liée à l’adresse IP de l’utilisateur lançant la requête et lorsque cette dernière est appelée avec le paramètre flag est égal à 1.  

Pas de mot de passe administrateur, rien, juste une simple requête CGI au niveau du serveur web de MyCloud et un cybercriminel pourrait alors pénétrer via un réseau local (une possible mise danger à distance dépendrait de l’activation d’un tel accès).

Securify a même publié une preuve de concept comportant quelques lignes de code, il ne s’agit pas ici d’un piratage majeur.

La seule autre exigence est que MyCloud utilise l’image du firmware 2.x BusyBox, ce qui serait le cas pour les nouveaux périphériques (les anciennes versions de Debian Wheezy 3.x et 4.x ne sont pas affectées).

En dépit du fait que cette faille ait été signalée à Western Digital à partir d’avril 2017, aucun des chercheurs n’a reçu de retour concernant ce problème, que ce soit pour reconnaître l’existence réelle de ce problème ou bien pour donner un planning de correction de celui-ci. Voici le tweet de Remco Vermeulen d’Exploitee.rs qui l’avait présentée à DEF CON :

Désignée sous le nom CVE-2018-17153 cette semaine, Western Digital MyCloud a même son propre Wiki Exploitee.rs détaillé, à savoir une base de connaissances sur les faiblesses de cette famille de produits.

L’année dernière, les vulnérabilités de sécurité de MyCloud se sont multipliées, incluant plusieurs vulnérabilités en janvier dernier, qui impliquaient des backdoors hardcodées. À cette occasion, il a fallu des mois à Western Digital pour publier un correctif, qui d’ailleurs était susceptible de ne pas traiter tous les problèmes qui auraient dû être corrigé.

Il semble que l’entreprise ait des problèmes avec la façon dont elle traite les vulnérabilités après leur signalement !

Même si elle considère qu’une vulnérabilité est peu prioritaire (à savoir avec une faible probabilité d’être exploitée), les 101 bonnes pratiques en matière de divulgation de vulnérabilités (Vulnerability Disclosure Policies – VDPs) imposent de garder les chercheurs dans la boucle !

En résumé la règle est simple : lorsqu’un correctif est disponible, il doit être publié sur le site support de Western Digital !


Billet inspiré de Western Digital goes quiet on unpatched MyCloud flaw, sur Sophos nakedsecurity.

Leave a Reply

Fill in your details below or click an icon to log in:

WordPress.com Logo

You are commenting using your WordPress.com account. Log Out /  Change )

Google+ photo

You are commenting using your Google+ account. Log Out /  Change )

Twitter picture

You are commenting using your Twitter account. Log Out /  Change )

Facebook photo

You are commenting using your Facebook account. Log Out /  Change )

Connecting to %s

This site uses Akismet to reduce spam. Learn how your comment data is processed.