Western Digital敦促客戶修補NAS驅動器后門

在安全研究人員發現許多安全問題(包括允許任何人訪問設備的硬編碼后門)之后，Western Digital已敦促客戶更新其NAS設備上的固件。GulfTech 研究員 James Bercegay發現了該漏洞，該漏洞允許攻擊者使用無法更改或修改的預設用戶名和密碼登錄受影響的NAS設備。

受影響的模型包括：MyCloud，MyCloudMirror，My Cloud Gen 2，My Cloud PR2100，My Cloud PR4100，My Cloud EX2 Ultra，My Cloud EX2，My Cloud EX4，My Cloud EX2100，My Cloud EX4100，My Cloud DL2100和My Cloud DL4100 。

Bercegay還發現了其他一些漏洞，包括命令注入，跨站點請求偽造和不受限制的文件上傳漏洞。有趣的是，他注意到后門和文件上傳在D-Link DNS-320L ShareCenter(一種競爭對手的NAS設備)中發現完美匹配的缺陷，使Western Digital可以從D-Link獲得(有缺陷的)代碼以便構建它的NAS設備。

Western Digital告訴 IT專業人員，Bercegay已經通知了它的缺陷，并且該問題已在v2.30.172固件更新中得到解決。發言人敦促客戶更新到最新版本的固件，以免受到影響。

“提醒一下，我們敦促客戶確保其產品上的固件始終是最新的;建議啟用自動更新。我們還建議您實施聲音數據保護措施，例如定期數據備份和密碼保護，以確保您的安全。當你使用個人云或網絡附加存儲設備時路由器，“他們說。

“西部數據不斷致力于提高我們產品的能力和安全性，包括與安全研究界一起解決他們可能發現的問題。我們鼓勵客戶和研究人員負責任地披露，以確保我們的客戶在應對有效漏洞時受到保護。”