My Cloud của Western Digital là một trong những thiết bị lưu trữ mạng phổ biến nhất hiện nay, được các cá nhân và doanh nghiệp sử dụng để lưu trữ tệp tin và tự động sao lưu, đồng bộ với các dịch vụ đám mây và web. Thiết bị cho phép người dùng không chỉ chia sẻ tệp tin trong mạng gia đình mà còn cho phép truy cập dữ liệu ở bất kỳ đâu và vào bất kỳ thời điểm nào.
Do thiết bị này được thiết kế để kết nối qua Internet, cửa hậu độc hại có thể khiến dữ liệu người dùng đứng trước nguy cơ bị tấn công.
Nhóm nghiên cứu và phát triển GulfTech vừa công bố bản hướng dẫn chi tiết về cửa hậu độc hại và một số lỗ hổng nghiêm trọng trong ổ lưu trữ My Cloud của WD cho phép kẻ tấn công từ xa tiêm nhiễm lệnh, upload và tải tệp tin nhạy cảm về mà không cần cho phép.
Chuyên gia James Bercegay của GulfTech đã liên hệ với nhà cung cấp để báo cáo về vấn đề này vào tháng 6/2017. Nhà cung cấp đã xác nhận lỗ hổng và yêu cầu thời hạn 90 ngày trước khi tiết lộ thông tin đầy đủ. Tuy nhiên đến ngày 03/01/2018, GulfTech công khai chi tiết về các lỗ hổng này vẫn chưa có bản vá nào được đưa ra.
Tải tệp tin không hạn chế dẫn đến khai thác từ xa
Lỗ hổng này cho phép kẻ tấn công từ xa tải tệp tin tùy ý lên máy chủ chạy thiết bị lưu trữ dính lỗ hổng được kết nối Internet.
Lỗ hổng nằm trong tập lệnh “multi_uploadify.php” do nhà phát triển thực thi sai chức năng gethostbyaddr() PHP.
Bên cạnh đó, lỗ hổng này cũng dễ dàng bị khai thác để chiếm quyền root shell từ xa. Tất cả những gì kẻ tấn công phải làm là gửi một yêu cầu tải tệp tin lên dùng tham số Filedata[0], vị trí của tệp tin tải lên được quy định trong tham số “folder” và tiêu đề “Host” giả mạo.
Các nhà nghiên cứu cũng đã viết một môđun Metasploit để khai thác lỗ hổng này.
Môđun này sẽ dùng lỗ hổng để tải lên một webshell PHP đến thư mục “/var/www/”. Sau khi được tải lên, webshell thực thi yêu cầu một URI dẫn đến cửa hậu nhằm tạo ra payload.
Cửa hậu độc hại dẫn đến khai thác từ xa
Các nhà nghiên cứu cùng tìm thấy sự tồn tại của một “cửa hậu cổ điển” với tên admin là “mydlinkBRionyg” và mật khẩu “abc12345cba,” được mã hóa trong nhị phân và không thể thay đổi. Do đó, bất kỳ ai cũng có thể đăng nhập vào thiết bị My Cloud với thông tin này.
Cũng sử dụng phương thức cửa hậu, bất kỳ ai truy cập code chứa lỗ hổng sẽ dẫn đến việc tiêm nhiễm lệnh và tạo ra một root shell.
Các lỗ hổng khác trong My Cloud của Western Digital
Bên cạnh hai lỗ hổng nghiêm trọng ở trên, các nhà nghiên cứu cũng đã báo cáo một số lỗ hổng quan trọng khác:
Giả mạo yêu cầu cross-site: Do không có cơ chế phòng vệ hình thức tấn công giả mạo yêu cầu cross-site (XSRF) thực sự trong giao diện web My Cloud, bất kỳ trang web độc hại nào cũng có thể khiến trình duyệt web của nạn nhân kết nối đến thiết bị My Cloud trong mạng và tấn công nó.
Tiêm nhiễm lệnh: Lỗ hổng này kết hợp với lỗ hổng XSRF để giành quyền kiểm soát toàn bộ (đặc quyền root) thiết bị ảnh hưởng.
Từ chối dịch vụ: Bất kỳ người dùng trái phép nào cũng có thể đặt tham chiếu ngôn ngữ cho toàn bộ thiết bị lưu trữ và tạo cơ hội cho kẻ tấn công lạm dụng chức năng này để tạo ra tình trạng DoS đến giao diện web.
Tiết lộ thông tin: Kẻ tấn công có thể xóa danh sách tất cả người dùng, bao gồm cả thông tin chi tiết mà không cần yêu cầu xác thực, chỉ bằng một yêu cầu đơn giản đến máy chủ web như GET /api/2.1/rest/users? HTTP/1.1.
Các phiên bản Firmware và dòng My Cloud bị ảnh hưởng
My Cloud của Western Digital và My Cloud Mirror firmware từ phiên bản 2.30.165 trở về trước bị ảnh hưởng bởi tất cả các lỗ hổng ở trên.
Các dòng bị ảnh hưởng gồm: My Cloud Gen 2, My Cloud PR2100, My Cloud PR4100, My Cloud EX2 Ultra, My Cloud EX2, My Cloud EX4, My Cloud EX2100, My Cloud EX4100, My Cloud DL2100 và My Cloud DL4100.
Môđun Metasploit cho tất cả các lỗ hổng đã được phát hành trực tuyến.
Bình Minh
(Theo The Hacker News)
09:00 | 09/01/2018
09:00 | 08/01/2018
21:00 | 07/12/2021
15:00 | 29/12/2017
14:00 | 24/04/2024
Europol đưa ra thông báo, nền tảng cung cấp dịch vụ lừa đảo (PhaaS) LabHost vừa bị triệt phá trong chiến dịch kéo dài 1 năm của các nhà hành pháp toàn cầu, 37 nghi phạm bị bắt giữ.
09:00 | 19/04/2024
Theo nhận định của Cục An toàn thông tin (Bộ Thông tin và Truyền thông), trong thời gian gần đây các chiêu trò lừa đảo trực tuyến ngày càng gia tăng với các hình thức tinh vi hơn. Điều này khiến cho nhiều người dân khó nhận biết để phòng tránh nguy cơ mất an toàn thông tin.
14:00 | 16/01/2024
Các tài khoản X (Twitter) chính thức của Netgear và Hyundai MEA (có hơn 160.000 người theo dõi) là những tài khoản nổi tiếng mới nhất bị tin tặc tấn công để phát tán lừa đảo, nhằm lây nhiễm phần mềm độc hại, chiếm đoạt tiền điện tử của các nạn nhân.
09:00 | 10/01/2024
Song song với mức độ phổ biến toàn cầu của tiền điện tử và có nhiều cách thức lưu trữ mới thì các kho công cụ tấn công được sử dụng bởi những tác nhân đe dọa tiền kỹ thuật số cũng ngày càng được mở rộng. Bài viết này dựa trên báo cáo của Kaspersky đề cập đến các phương pháp tấn công email khác nhau được tội phạm mạng sử dụng trong các chiến dịch lừa đảo nhắm vào hai cách lưu trữ tiền điện tử phổ biến nhất: ví nóng và ví lạnh.
Mới đây, Cisco cảnh báo rằng một nhóm tin tặc được nhà nước bảo trợ đã khai thác hai lỗ hổng zero-day trong tường lửa Adaptive Security Appliance (ASA) và Firepower Threat Defense (FTD) kể từ tháng 11/2023 để cài đặt phần mềm độc hại trên các hệ thống mạng viễn thông và năng lượng bị ảnh hưởng tại nhiều quốc gia.
08:00 | 04/05/2024