వెస్ట్రన్ డిజిటల్ నా క్లౌడ్ పాస్వర్డ్ల దుర్బలత్వం కనుగొనబడింది

వెస్ట్రన్ డిజిటల్ మై క్లౌడ్ పరికరాలు ప్రామాణీకరణ దుర్బలత్వం ద్వారా ప్రభావితమయ్యాయి. పాస్‌వర్డ్‌ను ఉపయోగించకుండా వెబ్ పోర్టల్ ద్వారా హ్యాకర్ డిస్క్‌కు పూర్తి పరిపాలనా ప్రాప్యతను పొందవచ్చు, తద్వారా నా క్లౌడ్ పరికరంపై పూర్తి నియంత్రణ పొందవచ్చు.

భద్రతా సమస్యలతో వెస్ట్రన్ డిజిటల్ మై క్లౌడ్

వెస్ట్రన్ డిజిటల్ మై క్లౌడ్ WDBCTL0020HWT మోడల్ రన్నింగ్ ఫర్మ్‌వేర్ వెర్షన్ 2.30.172 లో ఈ దుర్బలత్వం విజయవంతంగా ధృవీకరించబడింది. ఈ సమస్య ఒకే మోడల్‌కు మాత్రమే పరిమితం కాదు, ఎందుకంటే నా క్లౌడ్ సిరీస్ ఉత్పత్తులు చాలావరకు ఒకే కోడ్‌ను పంచుకుంటాయి మరియు అందువల్ల అదే భద్రతా సమస్య.

వెస్ట్రన్ డిజిటల్ మై క్లౌడ్ తక్కువ-ధర, నెట్‌వర్క్-అటాచ్డ్ నిల్వ పరికరం. కొంత జ్ఞానం ఉన్న వినియోగదారు వెబ్ ద్వారా సులభంగా లాగిన్ అవ్వగలరని మరియు IP చిరునామాతో అనుసంధానించబడిన పరిపాలన సెషన్‌ను సృష్టించవచ్చని ఇటీవల కనుగొనబడింది. ఈ సమస్యను ఉపయోగించడం ద్వారా, ప్రామాణీకరించని దాడి చేసేవారు సాధారణంగా నిర్వాహక అధికారాలు అవసరమయ్యే ఆదేశాలను అమలు చేయవచ్చు మరియు నా క్లౌడ్ పరికరంపై పూర్తి నియంత్రణ పొందవచ్చు. భద్రతా సమస్యల కోసం రివర్స్ ఇంజనీరింగ్ సిజిఐ బైనరీలు ఉండగా ఈ సమస్య కనుగొనబడింది.

వివరాలు

నిర్వాహకుడు ప్రామాణీకరించిన ప్రతిసారీ, సర్వర్ వైపు సెషన్ సృష్టించబడుతుంది, అది యూజర్ యొక్క IP చిరునామాతో ముడిపడి ఉంటుంది. సెషన్ సృష్టించబడిన తర్వాత, HTTP అభ్యర్థనలో వినియోగదారు పేరు = అడ్మిన్ కుకీని పంపడం ద్వారా ప్రామాణీకరించబడిన CGI మాడ్యూళ్ళకు కాల్ చేయడం సాధ్యపడుతుంది. చెల్లుబాటు అయ్యే సెషన్ ఉందా మరియు వినియోగదారు యొక్క IP చిరునామాకు లింక్ చేయబడిందా అని CGI తనిఖీ చేస్తుంది.

ప్రామాణీకరించని దాడి చేసేవారు లాగిన్ చేయకుండా చెల్లుబాటు అయ్యే సెషన్‌ను సృష్టించవచ్చని కనుగొనబడింది. CGI మాడ్యూల్ network_mgr.cgi cgi_get_ipv6 అని పిలువబడే ఒక ఆదేశాన్ని కలిగి ఉంది, ఇది అడ్మినిస్ట్రేషన్ సెషన్‌ను ప్రారంభిస్తుంది, ఇది పారామితి జెండాతో సమానమైన 1 తో సమానమైనప్పుడు అభ్యర్థించే యూజర్ యొక్క IP చిరునామాకు కట్టుబడి ఉంటుంది. సాధారణంగా అవసరమయ్యే ఆదేశాల పిలుపు దాడి చేసేవారు వినియోగదారు పేరు = అడ్మిన్ కుకీని సెట్ చేస్తే నిర్వాహక అధికారాలు ఇప్పుడు అధికారం పొందుతాయి, ఇది ఏదైనా హ్యాకర్‌కు కేక్ ముక్క అవుతుంది.

ప్రస్తుతానికి, వెస్ట్రన్ డిజిటల్ నుండి ఫర్మ్వేర్ నవీకరణ పెండింగ్లో ఉన్న సమస్య పరిష్కరించబడలేదు.

గురు 3 డి ఫాంట్