Western Digital MyCloud vol ongepatchte beveiligingslekken
Onderzoekers hebben in de My Cloud-netwerkschijven van harde schijffabrikant Western Digital 85 kwetsbaarheden gevonden waardoor een aanvaller in het ergste geval de apparaten op afstand kan overnemen. Beveiligingsupdates zijn nog niet beschikbaar, omdat Western Digital niet werd ingelicht.
Via de kwetsbaarheden kan een aanvaller de inlogcontrole omzeilen, eigen commando's uitvoeren en bestanden zonder rechten uploaden. Volgens onderzoekers van Exploitee.rs gaat het om meer dan 83 kwetsbaarheden om op afstand roottoegang te krijgen. De onderzoekers besloten Western Digital niet van te voren in te lichten omdat het bedrijf zo'n slechte reputatie onder beveiligingsonderzoekers heeft.
"Het negeren van deze bugs zou de kwetsbare apparaten langer online laten terwijl de responsible disclosure wordt gecoördineerd", aldus de onderzoekers. Door de kwetsbaarheden openbaar te maken hopen ze dat mensen de kwetsbare apparaten van de openbare gedeeltes van hun netwerk halen en de toegang waar mogelijk beperken. Ook hopen ze dat Western Digital nu sneller met updates komt. Een overzicht van alle kwetsbare modellen is op de website van Exploitee.rs te vinden.
De deur van het kruit opslag schuurtje klemt, dus een groep proactieve soldaten hebben het schuurtje in brand gestoken.
zou deze manier van disclosure uiteindelijk in het gezicht opblazen of loopt het met een sisser af?
uiteraard een kwalijke zaak dat WD zo slecht met meldingen om gaat, maar nog slechter van deze onderzoekers om niets vermoedende eindgebruikers zo in gevaar te brengen. Het product van Exploitee.rs is namelijk gevaarlijker dan dat van WD
(een vulnerability disclosure is in mijn ogen altijd gevaarlijker dan iedere RCE 0-day)
uiteraard een kwalijke zaak dat WD zo slecht met meldingen om gaat, maar nog slechter van deze onderzoekers om niets vermoedende eindgebruikers zo in gevaar te brengen. Het product van Exploitee.rs is namelijk gevaarlijker dan dat van WD
(een vulnerability disclosure is in mijn ogen altijd gevaarlijker dan iedere RCE 0-day)
Het word ook maar eens tijd dat fabrikanten op de blaren gaan zitten. Moeten ze maar niet zo een dienst leveren, doe het goed of doe het niet. Ik snap uberhaupt niet wat WD in cloud diensten moet, lijkt een beetje op een hersenchirurg die in het weekend bijklust als tandarts.
Het word ook maar eens tijd dat fabrikanten op de blaren gaan zitten. Moeten ze maar niet zo een dienst leveren, doe het goed of doe het niet. Ik snap uberhaupt niet wat WD in cloud diensten moet, lijkt een beetje op een hersenchirurg die in het weekend bijklust als tandarts.
overigens is mycloud geen cloud oplossing, maar gewoon een lokale NAS met de naam mycloud
de mycloud mirror van WD (Wat Duur) is de cloud dienst als je een online backup wil van je mycloud
Qua security, qua privacy en qua werkbaarheid met grote bestanden.
De kwaliteit van de harddisks en garantie policy bij WD schijven is gelukkig zeer goed (in het uitzonderlijke geval dat je er gebruik van moet maken).
Ja, ik wet het, Hitachi is nog beter qua levensduur. Maar helaas echt in onbetaalbaar in verhouding tot WD schijven.
Waar ik wel benieuwd naar ben is of iemand een goede nas weet die zonder extern internet kan (muv af en toe een update binnenhalen), dus alleen voor gebruik op een lokaal netwerk en ook andere poorten heeft voor snelle dataoverdracht om op in te prikken en en vooral ook geen installatie van Java op aangesloten machines vereist.
Dus degelijk materiaal dat je niet verplicht continue aan het internet hoeft te hangen, zonder cloud functionaliteit en dat vooral geen extra java vereist om dat ding uberhaupt te kunnen benaderen en te beheren (bespaar me java discussies, ik wil het niet verplicht op mijn systemen, basta).
Verder moet je, helaas tegenwoordig, altijd je gevoelige gegevens versleuteld opslaan - zeker ook op een backup.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
