Según la investigación de expertos en seguridad informática de Trustwave, los dispositivos de almacenamiento My Cloud EX2 de Western Digital filtran archivos a cualquier persona en una red local de forma predeterminada, sin importar los permisos establecidos por los usuarios. Si está configurado para acceso remoto a través de Internet público, My Cloud EX2 también filtra archivos a través de una solicitud HTTP en el puerto 9000.
Esta semana, Trustwave dio a conocer sus hallazgos y advirtió: “Desafortunadamente, la configuración predeterminada de una nueva unidad My Cloud EX2 permite que cualquier usuario de red local no autenticado pueda tomar cualquier archivo del dispositivo mediante solicitudes HTTP”.
La fuga se debe al servidor de medios UPnP del dispositivo que se inicia automáticamente cuando el dispositivo está encendido, dijeron los investigadores. “De manera predeterminada, los usuarios no autenticados pueden tomar cualquier archivo del dispositivo evitando por completo los permisos o restricciones establecidos por el propietario o el administrador”, escribió Martin Rakhmanov, gerente de investigación de seguridad de Trustwave en un análisis técnico de My Cloud EX2.
Los expertos en seguridad informática también dijeron que cuando revelaron a Western Digital su investigación, la compañía dijo que la configuración predeterminada insegura no garantizaba una solución. En cambio, WD solo recomienda a los usuarios que apaguen DLNA “si no desean utilizar la característica del producto”.
“No tienes que estar autenticado. No es necesario que obtenga las credenciales antes de tiempo. Si My Cloud está en una red cerrada o está en internet abierta (y el vulnerable puerto 9000 está abierto), un atacante de cualquier lugar puede acceder a todos los archivos del dispositivo “, dijo Karl Sigler, gerente de inteligencia de amenazas de Trustwave SpiderLabs. Threatpost en una entrevista.
Western Digital dijo que la función DLNA se usa junto con los reproductores multimedia de los usuarios en teléfonos inteligentes y televisores.
“Mis sistemas Cloud vienen con Twonky Server. Twonky Server permite el acceso a los usuarios de My Cloud dentro de la red local sin protección de contraseña, que es común con el software de servidor DLNA. Western Digital recomienda que los usuarios guarden el contenido que desean proteger con una contraseña en recursos compartidos para los cuales las capacidades de DLNA están desactivadas; o deshabilitar el servidor Twonky para todo el sistema, lo que inhabilitaría solo las capacidades del servidor de medios DLNA “, dijo un vocero.
El vocero también dijo que DLNA está habilitado por defecto en todos los productos My Cloud y My Cloud Mirror. Y ese DLNA está desactivado en otros productos de My Cloud Pro Series y Expert Series de manera predeterminada.
WD dijo que solo se puede acceder a los archivos que residen en un “recurso compartido” para el que DLNA está habilitado sin protección con contraseña y solo a los usuarios de la red local.
“Si va a proporcionar un NAS que realmente proporcione controles de autenticación y acceso para los usuarios, desde la perspectiva de la seguridad no tiene sentido implementar este tipo de componente DLNA wonky”, dice Sigler.
Ataque de prueba de concepto
Además, Sigler dijo que el ataque de prueba de concepto de Trustwave involucra a un adversario que emite una solicitud HTTP al puerto 9000 solicitando el recurso “TMSContentDirectory / Control”. “La solicitud debe contener XML con la acción Explorar en ella”, dijo Sigler. El servidor UPnP responderá con una lista de archivos en el dispositivo. A continuación, el atacante utiliza las solicitudes HTTP posteriores para recuperar los archivos reales del dispositivo utilizando las URL de la respuesta recopilada.
“No importa si puede establecer permisos y credenciales en My Cloud EX2 para asegurarse de que las fotos de sus hijos estén bloqueadas y solo estén disponibles para alguien que esté realmente autenticado con el dispositivo. Al saber cómo funciona el tráfico con el dispositivo My Cloud (EX2), puede lograr que le suministre cualquier archivo en el dispositivo, independientemente de los permisos. Eso es algo nuevo específico para este dispositivo “.
WD no es ajeno a las vulnerabilidades que se encuentran en sus productos NAS. Los analistas de seguridad informática dijeron que la compañía ha parcheado varios errores de seguridad críticos en sus dispositivos de almacenamiento de red My Cloud, el más serio de los cuales permite a los atacantes remotos obtener acceso raíz sin restricciones al dispositivo.
En este año, los investigadores de GulfTech encontraron una vulnerabilidad de puerta trasera que permitía a los atacantes remotos enviar una solicitud posterior a un WD NAS vulnerable, lo que les permitía cargar un archivo arbitrario en el servidor que se ejecuta en los dispositivos de almacenamiento vulnerables. Los expertos también encontraron una puerta trasera que incluía las credenciales de administrador codificadas del dispositivo. Otros defectos encontrados por Trustwave, Trendmicro y otros han incluido la falsificación de solicitudes entre sitios, la inyección de comandos, la denegación de servicio y la divulgación de información. Los profesionales de seguridad informática recomiendan desactivar DLNA para proteger los datos del usuario.
Entusiasta de la seguridad cibernética. Especialista en seguridad de la información, actualmente trabajando como especialista en infraestructura de riesgos e investigador.
Experiencia en procesos de riesgo y control, soporte de auditoría de seguridad, diseño y soporte de COB (continuidad del negocio), gestión de grupos de trabajo y estándares de seguridad de la información.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/.
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
