Cuidado, My Cloud da WD tem uma falha que permite acesso da Internet sem password

Com a chegada dos serviços cloud, muitos começaram a preocupar-se com as questões de privacidade e o roubo dos dados. Isso levou a que os NAS ganhassem fulgor e fossem a escolha de muitos.

Nesta área a WD é um dos principais fabricantes, onde tem muitas soluções. A My Cloud é uma delas e descobriu-se agora que tem uma falha de segurança grave e que pode ser explorada de forma muito simples.

A linha My Cloud da WD é uma das mais bem sucedidas da marca e das que mais é escolhida pelos utilizadores domésticos. Para além do armazenamento local de dados, permite o acesso remoto aos dados dos utilizadores a partir de qualquer ponto da Internet.

Claro que tem mecanismos de segurança para impedir o acesso não autorizado e proteger os dados armazenados. Mas o que foi descoberto deita por terra esta segurança.

Com uma simples chamada ao endereço público destes NAS, é possível entrar no My Cloud e aceder de forma total aos dados dos utilizadores, sem que qualquer password seja pedida.

https://twitter.com/RemcoVermeulen/status/1042187015712845825

Foi o investigador de segurança Remco Vermeulen que descobriu a falha nos equipamentos da Western Digital. Segundo ele, o problema está num script que chama um comando com permissões de administrador e define um cookie com essa indicação. Ao ser explorado o cookie, este atribui as permissões de admin e abre assim a porta aos atacantes.

Curiosamente esta falha foi reportada há mais de 1 ano e até agora a empresa ainda não a mitigou, tendo por isso o investigador decidido torná-la pública. As recentes atualizações de software não corrigiram a falha, que está pública e que pode ser explorada.

O problema foi também confirmado por outra equipa de investigadores e até o código para o explorar foi tornado público.

Espera-se que muito em breve a Western Digital corrija a falha numa atualização futura, agora que o problema está público e que qualquer um o pode explorar.

A falha foi descoberta no modelo My Cloud WDBCTL0020HWT da Western Digital, a correr a versão de firmware 2.30.172, mas sabe-se que deverá estar presente n o resto da linha My Cloud, uma vez que este partilha código entre si.

Segundo o investigador de segurança, a única forma de proteção neste momento é o desligar dos equipamentos My Cloud, para que assim estejam isolados da rede e longe do acesso dos atacantes.