My Cloud của Western Digital là một trong những thiết bị lưu trữ mạng phổ biến nhất hiện nay, được các cá nhân và doanh nghiệp sử dụng để lưu trữ tệp tin và tự động sao lưu, đồng bộ với các dịch vụ đám mây và web. Thiết bị cho phép người dùng không chỉ chia sẻ tệp tin trong mạng gia đình mà còn cho phép truy cập dữ liệu ở bất kỳ đâu và vào bất kỳ thời điểm nào.
Do thiết bị này được thiết kế để kết nối qua Internet, cửa hậu độc hại có thể khiến dữ liệu người dùng đứng trước nguy cơ bị tấn công.
Nhóm nghiên cứu và phát triển GulfTech vừa công bố bản hướng dẫn chi tiết về cửa hậu độc hại và một số lỗ hổng nghiêm trọng trong ổ lưu trữ My Cloud của WD cho phép kẻ tấn công từ xa tiêm nhiễm lệnh, upload và tải tệp tin nhạy cảm về mà không cần cho phép.
Chuyên gia James Bercegay của GulfTech đã liên hệ với nhà cung cấp để báo cáo về vấn đề này vào tháng 6/2017. Nhà cung cấp đã xác nhận lỗ hổng và yêu cầu thời hạn 90 ngày trước khi tiết lộ thông tin đầy đủ. Tuy nhiên đến ngày 03/01/2018, GulfTech công khai chi tiết về các lỗ hổng này vẫn chưa có bản vá nào được đưa ra.
Tải tệp tin không hạn chế dẫn đến khai thác từ xa
Lỗ hổng này cho phép kẻ tấn công từ xa tải tệp tin tùy ý lên máy chủ chạy thiết bị lưu trữ dính lỗ hổng được kết nối Internet.
Lỗ hổng nằm trong tập lệnh “multi_uploadify.php” do nhà phát triển thực thi sai chức năng gethostbyaddr() PHP.
Bên cạnh đó, lỗ hổng này cũng dễ dàng bị khai thác để chiếm quyền root shell từ xa. Tất cả những gì kẻ tấn công phải làm là gửi một yêu cầu tải tệp tin lên dùng tham số Filedata[0], vị trí của tệp tin tải lên được quy định trong tham số “folder” và tiêu đề “Host” giả mạo.
Các nhà nghiên cứu cũng đã viết một môđun Metasploit để khai thác lỗ hổng này.
Môđun này sẽ dùng lỗ hổng để tải lên một webshell PHP đến thư mục “/var/www/”. Sau khi được tải lên, webshell thực thi yêu cầu một URI dẫn đến cửa hậu nhằm tạo ra payload.
Cửa hậu độc hại dẫn đến khai thác từ xa
Các nhà nghiên cứu cùng tìm thấy sự tồn tại của một “cửa hậu cổ điển” với tên admin là “mydlinkBRionyg” và mật khẩu “abc12345cba,” được mã hóa trong nhị phân và không thể thay đổi. Do đó, bất kỳ ai cũng có thể đăng nhập vào thiết bị My Cloud với thông tin này.
Cũng sử dụng phương thức cửa hậu, bất kỳ ai truy cập code chứa lỗ hổng sẽ dẫn đến việc tiêm nhiễm lệnh và tạo ra một root shell.
Các lỗ hổng khác trong My Cloud của Western Digital
Bên cạnh hai lỗ hổng nghiêm trọng ở trên, các nhà nghiên cứu cũng đã báo cáo một số lỗ hổng quan trọng khác:
Giả mạo yêu cầu cross-site: Do không có cơ chế phòng vệ hình thức tấn công giả mạo yêu cầu cross-site (XSRF) thực sự trong giao diện web My Cloud, bất kỳ trang web độc hại nào cũng có thể khiến trình duyệt web của nạn nhân kết nối đến thiết bị My Cloud trong mạng và tấn công nó.
Tiêm nhiễm lệnh: Lỗ hổng này kết hợp với lỗ hổng XSRF để giành quyền kiểm soát toàn bộ (đặc quyền root) thiết bị ảnh hưởng.
Từ chối dịch vụ: Bất kỳ người dùng trái phép nào cũng có thể đặt tham chiếu ngôn ngữ cho toàn bộ thiết bị lưu trữ và tạo cơ hội cho kẻ tấn công lạm dụng chức năng này để tạo ra tình trạng DoS đến giao diện web.
Tiết lộ thông tin: Kẻ tấn công có thể xóa danh sách tất cả người dùng, bao gồm cả thông tin chi tiết mà không cần yêu cầu xác thực, chỉ bằng một yêu cầu đơn giản đến máy chủ web như GET /api/2.1/rest/users? HTTP/1.1.
Các phiên bản Firmware và dòng My Cloud bị ảnh hưởng
My Cloud của Western Digital và My Cloud Mirror firmware từ phiên bản 2.30.165 trở về trước bị ảnh hưởng bởi tất cả các lỗ hổng ở trên.
Các dòng bị ảnh hưởng gồm: My Cloud Gen 2, My Cloud PR2100, My Cloud PR4100, My Cloud EX2 Ultra, My Cloud EX2, My Cloud EX4, My Cloud EX2100, My Cloud EX4100, My Cloud DL2100 và My Cloud DL4100.
Môđun Metasploit cho tất cả các lỗ hổng đã được phát hành trực tuyến.
Bình Minh
(Theo The Hacker News)
09:00 | 09/01/2018
09:00 | 08/01/2018
21:00 | 07/12/2021
15:00 | 29/12/2017
14:00 | 04/02/2025
Các nhà nghiên cứu an ninh mạng đã phát hiện một chiến dịch tấn công mới nhắm vào các thiết bị tường lửa Fortinet FortiGate có giao diện quản lý công khai trên Internet.
21:00 | 26/01/2025
Trong vài năm qua, nhóm tin tặc Lazarus đã phân phối phần mềm độc hại bằng cách khai thác các cơ hội việc làm giả mạo nhắm vào nhân viên trong nhiều ngành công nghiệp khác nhau, bao gồm quốc phòng, hàng không vũ trụ, tiền điện tử và các lĩnh vực toàn cầu khác. Chiến dịch tấn công này được gọi là DeathNote và cũng được gọi là “Operation DreamJob”. Bài viết sẽ cung cấp tổng quan về những thay đổi đáng kể trong chuỗi lây nhiễm của Lazarus và khám phá cách chúng kết hợp việc sử dụng các mẫu phần mềm độc hại mới và cũ để điều chỉnh các cuộc tấn công.
08:00 | 20/12/2024
Các nhà nghiên cứu tại hãng bảo mật di động Lookout (Mỹ) mới đây đã phát hiện ba công cụ gián điệp mới trên thiết bị Android do các tổ chức được nhà nước bảo trợ có tên lần lượt là BoneSpy, PlainGnome và EagleMsgSpy để theo dõi và đánh cắp dữ liệu từ các thiết bị di động.
13:00 | 17/12/2024
Các chuyên gia cảnh báo về một chiến dịch lừa đảo mới sử dụng các tài liệu Microsoft Office và tệp ZIP bị lỗi để vượt qua các giải pháp bảo mật như phần mềm diệt virus hay bộ lọc email.
Theo báo cáo bảo mật Android 2024 được Google công bố cuối tháng 1/2025 cho thấy hãng đã chặn 2,36 triệu ứng dụng vi phạm chính sách trước khi chúng được phát hành trên Play Store, cấm hơn 158.000 tài khoản của các nhà phát triển cố gắng phát hành ứng dụng có hại.
10:00 | 13/02/2025