Los NAS My Cloud de WD son vulnerables a ataques remotos

La semana pasada se descubrieron una serie de vulnerabilidades en los servidores NAS My Cloud de WD (Western Digital) que pueden ser explotadas a través de ataques remotos, según publican en Exploitee.rs.

Las vulnerabilidades derivan de una serie de fallos de seguridad no parcheados en la mayoría de los modelos de NAS My Cloud, permitiendo ataques en remoto a través de Internet para saltarse el login de acceso, insertar comandos o subir ficheros sin permiso. En muchos casos, el origen de la vulnerabilidad está en un script PHP mal implementado. Además, todas las órdenes ejecutadas a través de la interfaz web de My Cloud tienen acceso completo al sistema operativo, otorgando a los atacantes capacidades para producir un daño mayor.

La respuesta por parte de WD ante esta situación no ha podido ser peor, ya que a pesar de haber parcheado la vulnerabilidad que permite saltarse el login a través de una actualización de firmware, este mismo parche introdujo otros problemas además de corregir el mencionado.

Al parecer, Exploitee.rs reportó de forma privada a WD los problemas presentes en los NAS My Cloud, sin embargo, la compañía parece no haberse tomado en serio sus avisos, por lo que ha decidido publicar los fallos anteriores al parche debido a la reputación que tiene la compañía entre la comunidad. La intención con este movimiento es forzar a WD para que mueva fichas en la dirección correcta y parchee de una vez todas las vulnerabilidades descubiertas.

Las estadísticas de los bugs encontrados son las siguientes:

1 fallo que permitía saltarse el acceso (login).
1 fallo de escritura de fichero arbitraria.
13 fallos de ejecución de órdenes o comandos remotos no autenticados.
70 fallos de ejecución de órdenes o comandos remotos con autenticación, los cuales también pueden ser explotados si antes se explota el fallo que permite saltarse el login.

Los dispositivos afectados por los problemas mencionados son los siguientes: