Samba-lek geeft aanvaller remote toegang tot WD My Cloud-apparaten
Een kwetsbaarheid in de My Cloud-apparaten van harde schijffabrikant Western Digital (WD) maakt het mogelijk voor een aanvaller om op afstand code met rootrechten uit te voeren. WD heeft een firmware-update beschikbaar gemaakt en roept gebruikers op om die spoedig te installeren.
My Cloud is het besturingssysteem dat onder andere op de NAS-systemen en netwerkschijven van WD draait en ervoor zorgt dat gebruikers hun thuis opgeslagen data vanaf het internet kunnen benaderen. Op 31 januari waarschuwde Samba voor een kritieke kwetsbaarheid in de eigen VFS-module.
Samba is een opensourceprogramma dat van het smb-protocol gebruikmaakt en bijvoorbeeld Windows-machines met Unix-machines via zowel lokale netwerken als het internet laat communiceren. Via verschillende Virtual File System (VFS) modules is het mogelijk om de mogelijkheden van Samba verder uit te breiden.
Een van deze modules is vfs_fruit, die voor betere compatibiliteit met Apple Server Message Block (SMB) clients en interoperabiliteit met Netatalk 3 Apple Filing Protocol (AFP) fileservers zorgt. Een kwetsbaarheid in de module, aangeduid als CVE-2021-44142, laat een aanvaller op afstand op kwetsbare systemen code als root uitvoeren. De impact van het beveiligingslek is op een schaal van 1 tot en met 10 met een 9.9 beoordeeld.
De kwetsbare Samba-module is ook aanwezig in My Cloud OS 5. WD heeft nu firmware-updates uitgerold waarin de Samba-update is doorgevoerd en het probleem verholpen. Gebruikers wordt aangeraden de update snel te installeren.
Code uitvoeren als root in het smbd domein had waarschijnlijk niet het hele apparaat hoeven te compromitteren als de toegang voor smbd beperkt zou zijn tot minste privilege.
Uiteindelijk maakt het waarschijnlijk niet uit want de firmware kan wellicht toch wel een update gebruiken ivm Dirty Pipe.
WD My Cloud OS 5 komt ook met SSH heb ik gelezen dus je kunt waarschijnlijk ook een sftpserver met sshfs gebruiken en Samba uit zetten.
Nog beter: je kunt misschien net zo goed zelf een NAS oplossing implementeren met Raspi en Debian of zo. Deze WD My Cloud apparaten zijn zo'n beetje volwaardige computer systemen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
