पश्चिमी डिजिटल मेरे क्लाउड पासवर्ड भेद्यता की खोज की

पश्चिमी डिजिटल माय क्लाउड डिवाइस एक प्रमाणीकरण भेद्यता से प्रभावित पाए गए। एक हैकर पासवर्ड का उपयोग किए बिना वेब पोर्टल के माध्यम से डिस्क तक पूर्ण प्रशासनिक पहुंच प्राप्त कर सकता है, जिससे माई क्लाउड डिवाइस का पूर्ण नियंत्रण प्राप्त होता है।

सुरक्षा मुद्दों के साथ पश्चिमी डिजिटल मेरा बादल

इस भेद्यता को पश्चिमी संस्करण My Cloud WDBCTL0020HWT मॉडल पर फर्मवेयर वर्जन 2.30.172 में सफलतापूर्वक सत्यापित किया गया था। यह समस्या किसी एकल मॉडल तक सीमित नहीं है, क्योंकि अधिकांश माई क्लाउड श्रृंखला के उत्पाद एक ही कोड को साझा करते हैं, और इसलिए एक ही सुरक्षा समस्या है।

वेस्टर्न डिजिटल माय क्लाउड एक कम लागत वाली, नेटवर्क से जुड़ी स्टोरेज डिवाइस है। यह हाल ही में पता चला था कि कुछ ज्ञान वाले उपयोगकर्ता आसानी से वेब के माध्यम से लॉग इन कर सकते हैं और एक प्रशासन सत्र बना सकते हैं जो एक आईपी पते से जुड़ा हुआ है। इस समस्या का फायदा उठाकर, एक गैर-हमलावर हमलावर उन आदेशों को निष्पादित कर सकता है जो सामान्य रूप से व्यवस्थापक विशेषाधिकारों की आवश्यकता होती है और माई क्लाउड डिवाइस का पूर्ण नियंत्रण प्राप्त करते हैं। समस्या की खोज की गई, जबकि रिवर्स इंजीनियरिंग CGI बायनेरिज़ को सुरक्षा समस्याओं की तलाश करने के लिए।

विवरण

जब भी कोई व्यवस्थापक प्रमाणित करता है, तो सर्वर-साइड सत्र बनाया जाता है जो उपयोगकर्ता के आईपी पते से जुड़ा होता है। एक बार सत्र बन जाने के बाद, HTTP अनुरोध में उपयोगकर्ता नाम = व्यवस्थापक कुकी भेजकर प्रमाणीकृत CGI मॉड्यूल को कॉल करना संभव है। यदि कोई वैध सत्र मौजूद है और उपयोगकर्ता के आईपी पते से जुड़ा हुआ है, तो सीजीआई जाँच करेगा।

यह पता चला कि एक बिना कारण वाला हमलावर बिना लॉग इन किए वैध सत्र बना सकता है। CGI मॉड्यूल network_mgr.cgi में cgi_get_ipv6 नामक एक कमांड होता है जो एक प्रशासन सत्र शुरू करता है जो कि अनुरोधित उपयोगकर्ता के आईपी पते के लिए बाध्य होता है जब पैरामीटर ध्वज के साथ 1 के बराबर में आह्वान किया जाता है। बाद के आदेशों की सामान्य रूप से आवश्यकता होती है। प्रशासक विशेषाधिकार अब अधिकृत होगा यदि कोई हमलावर उपयोगकर्ता नाम = व्यवस्थापक कुकी सेट करता है, जो किसी भी हैकर के लिए केक का एक टुकड़ा होगा।

फिलहाल, इस समस्या का समाधान नहीं किया गया है, पश्चिमी डिजिटल से एक फर्मवेयर अपडेट लंबित है।

गुरु 3 डी फ़ॉन्ट