Copyright HébergementWebs.com - License GPL

Western Digital : des NAS touchés par une faille vieille d'un an

Cybersécurité   2020-04-05 02:15:42

Laisser traîner une faille n’est jamais une bonne idée et Western Digital en fait aujourd’hui les frais. Un chercheur en sécurité a découvert une faille affectant le service My Cloud proposé par Western Digital et qui permet d’accéder au contenu d’un disque à distance en passant par une plateforme fournie par l’éditeur, baptisée My Cloud. Comme l’explique le chercheur Remco Vermeulen, cette faille permet tout simplement de contourner l’authentification à la machine et de prendre les droits d’administrateurs sur le contenu du disque.   publicité Une faille plutôt ennuyeuse, qui mériterait d’être patchée assez rapidement. Ce n’est néanmoins pas vraiment comme ça que cela s’est passé : Remco Vermeulen explique avoir découvert et signalé la faille en question auprès de Western Digital au mois d’avril 2017. Puis, il a attendu, en espérant que Western Digital vienne corriger la vulnérabilité en question. Entre temps, une seconde équipe de chercheurs en sécurité, Exploitee.rs a découvert cette même faille de manière indépendante et l’a également signalé à Western Digital, qui a refusé d’agir. Comme l’explique Vermeulen auprès de HFrance.com, il a ensuite constaté que Western Digital avait poussé des correctifs pour son système, sans corriger la faille signalée. C’est suite à cette découverte qu’il a finalement décidé de publier les détails de la vulnérabilité, afin de pousser Western Digital à corriger le problème. La faille en question a été testée sur un disque dur Western Digital My Cloud WDBCTL0020HWT, mais Vermeulen précise que la faille n’affecte pas uniquement ce modèle, mais bien tous les modèles utilisant la fonctionnalité MyCloud fournis par Western Digital. L’attaque nécessite que l’utilisateur dispose de la même IP que l’administrateur du système, ce qui exclut la possibilité d’exploiter cette faille à distance. Mais l’attaquant a simplement besoin d’envoyer une requête malveillante comportant un cookie d’identification pour accéder au panneau d’administration de l’appareil. Western Digital a déclaré que des correctifs seraient publiés « dans les prochaines semaines » afin de combler cette vulnérabilité. Il serait temps : non seulement les détails de la faille ont été rendus publics par les chercheurs, mais Exploitee.rs a expliqué avoir développé un module spansploit permettant d’automatiser l’exploitation de la faille. Une manière de faire sentir à Western Digital que ses relations avec les chercheurs en sécurité indépendants sont loin d’être au beau fixe.