Uwaga na sieciowe dyski Western Digital – warto zaktualizować oprogramowanie (aktualizacja)
Aktualizacja, 16:00 Otrzymaliśmy oficjalne stanowisko WD w tej sprawie. Potwierdza ono, że luka wykryta została w ubiegłym roku i wtedy też załatana odpowiednią aktualizacją. Western Digital zapoznało się i przeanalizowało doniesienia nt. błędów w zabezpieczeniach produktów z serii. Specjalista ds. Bezpieczeństwa, który odkrył problem, skontaktował się z nami w 2017 r. – zgłoszone przez niego krytyczne luki w zabezpieczeniach zostały załatane w aktualizacji firmware’u w 2017 (w wersji v2.30.172). W kolejnych aktualizacjach usunięto również pomniejsze błędy. Zdecydowanie zachęcamy klientów do kontaktowania się ze wsparciem technicznym Western Digital (https://support.wdc.com) w celu uzyskania pomocy w kwestii aktualizowania naszych urządzeń. Przypominamy też, że zawsze należy dbać, by na urządzeniu zainstalowane było najnowsze oprogramowanie – rekomendowanym rozwiązaniem jest korzystanie z funkcji automatycznych aktualizacji. Zalecamy również wdrożenie klasycznych dobrych praktyk z dziedziny bezpieczeństwa, takich jak regularne tworzenie kopii zapasowych danych czy ochronę hasłami, a także zabezpieczenie routera za pomocą którego korzystamy z osobistej chmury lub urządzenia NAS. Western Digital stale pracuje nad zwiększeniem możliwości oraz poziomu bezpieczeństwa naszych produktów – współpracujemy w tym celu m.in. ze społecznością ekspertów ds. bezpieczeństwa i rozwiązujemy zgłaszane przez nich problemy. Zachęcamy naszych klientów również do odpowiedzialnego zgłaszania wszelkich takich problemów, co pozwoli naszym specjalistom na bieżąco usuwać błędy i zapewnić klientom odpowiedni poziom bezpieczeństwa.
W Sieci pojawiły się badania przedsiębiorstwa Gulftech, którymi zainteresować powinni się wszyscy użytkownicy dysków sieciowych firmy Western Digital. Okazuje się, że w ich oprogramowaniu pojawiła się luka, którą można w prosty sposób wykorzystać, aby usunąć wszystkie dane zapisane na dyskach. Problemem dotkniętych jest wiele modeli z serii My Cloud w tym najtańsze, jednodyskowe przeznaczone dla domu oraz dużo droższe, działające na czterech dyskach jednocześnie.
Już na wstępie uspokajamy: aby zabezpieczyć się przed niemiłą niespodzianką wystarczy upewnić się, że dysk sieciowy wykorzystuje najnowsze dostępne dla niego oprogramowanie. Luka wykryta została bowiem w ubiegłym roku i wtedy też załatana odpowiednią aktualizacją. Stanowisko Western Digital w tej sprawie otrzymał serwis Zaufana Trzecia Strona. Specjalista ds. Bezpieczeństwa, który odkrył problem, skontaktował się z nami w 2017 r. – zgłoszone przez niego krytyczne luki w zabezpieczeniach zostały załatane w aktualizacji firmware’u w 2017 (w wersji v2.30.172) – czytamy we fragmencie oświadczenia.
Warto więc sprawdzić numer wersji firmware'u, a w razie potrzeby zaktualizować go do nowej wersji. Problem powinien więc być dawno rozwiązany w przypadku osób, które celowo nie zrezygnowały z automatycznych aktualizacji. Te osoby, które wykorzystują wcześniejszą wersję oprogramowania z luką, powinny jednak mieć się na baczności.
Problem dotyczy po pierwsze kodu PHP, który można łatwo wykorzystać, by do urządzenia wgrać dowolne pliki, a po drugie zapisanego na stałe w urządzeniu konta administratora o loginie mydlinkBRionyg z hasłem abc12345cba. To nie pomyłka, że w nazwie widzimy innego producenta. Jak zauważa Zaufana Trzecia Strona, to samo konto użytkownika występowało w kodzie urządzeń D-Link kilka lat wcześniej i najwidoczniej w tym przypadku WD użyto jego fragmentów na spółkę z D-Linkiem.
Ostatecznie luka pozwala atakującemu na przykład na usunięcie wszystkich danych z dysku, o ile ten podłączony jest do sieci lokalnej, a użytkownik odwiedzi witrynę choćby ze spreparowanym obrazkiem. Sprawą zdecydowanie warto się więc zainteresować aktualizując oprogramowanie dysku, a dodatkowo wdrożyć inne zabezpieczenia, takie jak na przykład wykonywanie dodatkowej kopii zapasowej lokalnie, co sugeruje samo Western Digital.
