据The Hacker News报道，有安全研究人员在西部数据（Western Digital）的My Cloud NAS设备中发现了一个身份验证旁路漏洞，该漏洞可能允许未经身份验证的攻击者获得对受影响设备的管理员级别控制。
西部数据的My Cloud（WD My Cloud）是全球受欢迎的网络附加存储（NAS）设备之一，大量的企业和个人都使用它来托管他们的文件，并将其与各种云和基于web的服务进行备份和同步。
WD My Cloud设备不仅允许用户在家庭网络中共享文件，而且它的专属云功能还允许用户随时随地访问来自世界各地的数据。
然而，Securify的安全研究人员发现，WD My Cloud NAS存在一个身份验证旁路漏洞，可允许未经身份验证的攻击者通过网络访问设备，并将其权限提升至管理员级别，且无需提供密码。
这最终将允许攻击者运行通常需要管理员权限的命令，并获得对受影响的NAS设备的完全控制，包括查看、复制、删除和覆盖存储在设备上的任何文件的能力。
利用漏洞破解WD My Cloud NAS非常容易
这个漏洞的编号为CVE-2018-17153，它位于WD My Cloud创建一个与IP地址绑定的管理会话的方式中。
通过简单地将cookie username=admin包含在发送到设备web界面的HTTP CGI请求中，攻击者便可以解锁管理员访问权限，并获得对存储在NAS中的所有内容的访问权限。
Securify的安全研究人员在一篇博文中解释说：“network_mgr.cgi CGI模块包含了一个名为cgi_get_ipv6的命令，该命令能够启动一个管理会话，而该管理会话与调用参数flag等于1时发出请求的用户的IP地址相关联。如果攻击者设置username=admin
cookie，则通常需要管理员权限的命令的后续调用立刻就会被授权。”
简单来说，只需要告诉WD My Cloud NAS设备，你是cookie中的管理员用户即可，且不会被要求输入密码。
相关概念验证漏洞利用代码已经发布
Securify的研究人员在他们的博文中还发布了一段概念验证漏洞利用代码，并展示了如何通过短短几行代码便可实现对该漏洞的利用。
从这篇博文的描述来看，该漏洞需要本地网络或与WD My Cloud设备的互联网连接才能够运行命令并绕过NAS设备通常的登录要求。
研究人员在运行固件版本2.30.172的WD My Cloud（型号WDBCTL0020HWT）设备上成功实现了对漏洞的利用，并且声称这个问题不仅限于该型号，因为My Cloud系列中的大多数产品都拥有相同的“易受攻击”代码。
根据研究人员的说法，他们在对CGI二进制文件进行逆向工程以寻找安全漏洞时发现了这个问题，并于2017年4月向西部数据进行了报告，但一直未收到该公司的任何回复。在西部数据近一年半的保持沉默之后，研究人员最终决定公开披露了这个漏洞，而这个漏洞到目前为止仍然未被修复。
在The Hacker News的文章发表之后，西部数据对Securify的研究成果进行了回应，并表示会通过固件升级来修复这个漏洞。
网友评论