8 januari 2018 10:44

Enorme achterpoort geeft iedereen en zijn kat toegang tot Western Digital MyCloud-servers

Een beveiligingsonderzoeker ontdekte een enorm lek in het besturingssysteem van de thuis- en kantoorservers van Western Digital. Iedereen kan er op inloggen met een hardgecodeerde universele account.

Met de gebruikersnaam-wachtwoordcombinatie mydlinkBRionyg en abc12345cba kan je inloggen op zowat iedere MyCloud-NAS van Western Digital. Beveiligingsonderzoeker James Bercegay ontdekte de combinatie in de code van het besturingssysteem waar de NASsen op draaien. De achterpoort zit gecodeerd in het OS zelf. Het gaat dus niet om een bug maar om een verstopte universele sleutel die iedereen kan gebruiken. Wie met de gegevens inlogt, krijgt administratortoegang tot de server en kan bijgevolg aan alle data die er op bewaard wordt.

D-Link

Het achterpoortje is erg eenvoudig uit te buiten. Hackers zetten al een Metasploit-module online waardoor je nauwelijks technische kennis hoeft te hebben om een WD-NAS te kraken. Dat de credentials naar D-Link verwijzen, is niet uitzonderlijk. Het lijkt er op dat WD code van D-Link heeft hergebruikt in het bouwen van zijn NAS-OS. Exact dezelfde kwetsbaarheid was echter te vinden op het D-Link DNS 320L ShareCenter (ook een NAS). Een dergelijke wisselwerking is niet ongewoon. Pijnlijker is het feit dat D-Link de problematische code voor zijn eigen product in 2014 al van een update voorzag.

De hardgecodeerde credentials in het OS is niet de enige kwetsbaarheid. Bercegay ontdekte dat het mogelijk is om zonder de juiste inloggegevens bestanden of code naar de NAS te uploaden. Die kwetsbaarheid valt zelfs uit te buiten wanneer een NAS niet rechtstreeks aan het internet gekoppeld is. Het volstaat voor een werknemer om naar een besmette website te surfen. Zonder enige verdere interactie van de gebruiker kan kwaadaardige code van daaruit een scan naar de NAS starten en de infectie beginnen. Wie een getroffen WD MyCloud-NAS heeft en op de foute link klikt, geeft de sleutels van zijn toestel aan een hacker.

Bliksemsnel updaten

Beide kwetsbaarheden zijn buitengewoon groot en de line-up van getroffen toestellen is best uitgebreid. Onder andere de MyCloud EX2 (Ultra), EX4, EX2100 en EX4100, DL2100 en DL4100, MyCloud PR2100 en PR4100 en MyCloud Gen 2 zijn kwetsbaar. In die lijst vind je niet alleen kleine consumentenservers maar ook NASsen uit de expert-reeks die zich lenen voor gebruik in KMO’s. Die professionelere 4-bay-NASsen kunnen al snel tientallen gigabytes aan data bevatten. Alle gegevens daarop zijn nu in theorie kwetsbaar.

De nieuwste versie van het OS dat de MyCloud-toestellen aanstuurt, is niet meer vatbaar voor bovenstaande lekken. Heb je een WD MyCloud-NAS, zorg er dan voor dat je minstens firmwareversie 2.30.174 draait. Die versie is al sinds eind vorig jaar beschikbaar. We kunnen niet voldoende benadrukken hoe belangrijk het is om snel actie te ondernemen. Veel kwetsbaarheden waar we over schrijven zijn technisch en vrij moeilijk uit te voeren, maar deze twee achterpoortjes zijn ongelooflijk eenvoudig voor hackers om op grote schaal uit te buiten.

https://www.smartbiz.be/achtergrond/172130/zo-breekt-een-hacker-op-jouw-computer/