Global Preloader
Vulnerabilidad
(11/Jan/2018) Vulnerabilidades en NAS Western Digital MyCloud

Vulnerabilidades en NAS Western Digital MyCloud

Una de las vulnerabilidades de Western Digital MyCloud permitiría tomar el control del dispositivo al aprovechar varias vulnerabilidades en el servicio HTTP de administración remota, alertándose además de un backdoor presente en el firmware y no documentado, entre otras cosas.
Según investigaciones llevadas a cabo el año pasado y coordinadas después con el fabricante para la publicación del parche, los dispositivos tendrían las siguientes vulnerabilidades:

Salto de restricciones que permitiría subir ficheros al dispositivo (CVE-2017-17560) :
Existirían unas incorrectas políticas de seguridad en el fichero "web/pages/jquery/uploader/multi_uploadify.php" al utilizar la función php "gethostbyaddr". Un atacante remoto con una petición especialmente manipulada, podría subir ficheros al dispositivo sin autenticarse.

Cuenta de administración remota no documentada "mydlinkBRionyg":
Este 'backdoor' se localizaba en el cgi "/cgi-bin/nas_sharing.cgi" y acepta como login válido al usuario "mydlinkBRionyg" con password "abc12345cba": 

if (!strcmp(v3, "mydlinkBRionyg") && !strcmp((const char *)&v9, "abc12345cba") )

Otras vulnerabilidades:
El resto de vulnerabilidades reportadas, aunque requerirían autenticación en el servidor, facilitarían ataques de tipo XSRF, ya que virtualmente la protección no estaría activa. Llamadas del tipo:

http://wdmycloud/web/dsdk/DsdkProxy.php?;rm -rf /;

Permitirían eliminar el contenido del sistema si un usuario autenticado lo visitara. Otras vulnerabilidades comentadas en el reporte son, la inyección de código, denegaciones de servicio o la revelación de información sensible del dispositivo.
Las vulnerabilidades han sido corregidas por el fabricante en su versión 2.30.174 del firmware, según el reporte oficial, aunque existen avisos en los foros de Western Digital, alertando que algunas de ellas todavía seguirían activas tras aplicar el firmware.
Por ello el fabricante ha declarado que en determinadas versiones (2.xx del firmware) y configuraciones (configuración por defecto, port forwarding y/o Dashboard Cloud Access activado) se deberían desactivar dichas funcionalidades y esperar a una nueva actualización.

La lista de los dispositivos vulnerables y sus versiones son: 

MyCloud <= 2.30.165 
MyCloudMirror <= 2.30.165 
My Cloud Gen 2 
My Cloud PR2100 
My Cloud PR4100 
My Cloud EX2 Ultra 
My Cloud EX2 
My Cloud EX4 
My Cloud EX2100 
My Cloud EX4100 
My Cloud DL2100 
My Cloud DL4100