Western Digital schließt Lücke in NAS-Geräten

Western Digital hat mit erheblicher Verzögerung einen Hotfix für seine My-Cloud-Serie bereitgestellt, um eine schwerwiegende Sicherheitslücke zu beheben, die Angreifern eine relativ einfache Umgehung des Passwortschutzes aus der Ferne erlaubte. Die Firmware 2.30.196 steht auf der Website von WD zum Download bereit, begleitet von Hinweisen zum manuellen Update auf My Cloud.

WD MyCloud DL2100 (Bild: WD)

Obwohl längst Exploits online zirkulierten, ließ der Hersteller allerdings rund eineinhalb Jahre vergehen, seit er von einem Sicherheitsforscher über die Lücke in Kenntnis gesetzt wurde. In dieser Zeit blieben viele Tausend dieser Einsteiger-NAS-Geräte über das Internet erreichbar und potentiell gefährdet.

Der Fehler steckt in der Web-Oberfläche der My-Cloud-Geräte. Sie prüft die Anmeldedaten nicht ausreichend, bevor sie Zugriff auf wichtige Werkzeuge gibt, die eigentlich Nutzern mit höheren Rechten vorbehalten sein sollten. Ein Angreifer kann so einen Administratorenzugang erhalten, ohne selbst über ein Passwort zu verfügen. Auch ohne Authentifizierung kann er dann Befehle ausführen, die eigentlich Administrationsrechte erfordern.

Remco Vermeulen entdeckte das Sicherheitsloch in den Speichergeräten am 9. April 2017 und meldete es schon einen Tag später erstmals an den Support von Western Digital. Irgendwann habe Western Digital jedoch nicht mehr auf seine Anfragen reagiert – während zwischenzeitlich veröffentlichte Firmware-Updates das Problem nicht behoben. Vermeulen gewann den Eindruck, dass WD „Sicherheit nicht sehr ernst nimmt“. Das Unternehmen „weigerte sich, die Entdeckung einzuräumen und das Problem zu beheben“.

Bewegung in die Angelegenheit kam erst in diesem Jahr. Auch ein Forscher bei Exploitee.rs stieß auf die kritische Lücke und stellte sie nach ausbleibender Reaktion im Juli 2018 auf der Sicherheitskonferenz Defcon 25 vor. Auch Vermeulen machte seine Entdeckung aus dem Vorjahr öffentlich und sorgte für den Eintrag CVE-2018-17153 in der National Vulnerability Database.

Nach der Veröffentlichung dieses Eintrags am 18. September 2018 und darauf folgenden Medienberichten reagierte Western Digital schließlich. Es erklärte schon einen Tag später, ein Firmware-Update zur Behebung des berichteten Problems sei kurz vor der Fertigstellung. Mit dessen Veröffentlichung sei „innerhalb weniger Wochen“ zu rechnen. Überraschend sollte es dann nur noch zwei weitere Tage dauern, bis die Firmware mit dem Hotfix verfügbar wurde.

[mit Material von Charlie Osborne, ZDNet.com]

Bernd Kling

Recent Posts

ONLYOFFICE: Partnerprogramm bietet zahlreiche Vorteile für neue Reseller

Wer seinen Kunden im Rahmen seiner Softwarelösung, IT-Services oder einfach nur als Reseller die Open-Source-Kollaborationsplattform…

41 Minuten ago

Hewlett Packard Enterprise übertrifft die Gewinnerwartungen im vierten Fiskalquartal

Der Umsatz steigt um 2 Prozent auf 7,4 Milliarden Dollar. Dazu trägt vor allem die…

17 Stunden ago

Deloitte: Chipkrise hält 2022 an

Zu einer Besserung soll es erst im Jahr 2023 kommen. Besonders betroffen sind Chips mit…

17 Stunden ago

Britische Kartellwächter untersagen Akquisition von Giphy durch Meta

Sie reklamieren Einschränkungen für den Markt für Displaywerbung. Giphy könnte Meta aber auch helfen, Facebooks…

17 Stunden ago

Zero Trust für OT in kritischen Infrastrukturen

Zero Trust in kritischen Infrastrukturen unter Operations Technologie (OT) umzusetzen, ist dringend notwendig, aber eine…

21 Stunden ago

Netzwerksicherheit erfordert professionelle Partner

Netzwerkmanagement in hybriden und Multi-Cloud-Umgebungen muss in eine Gesamtstrategie für Cybersicherheit einbezogen werden. Dafür sind…

22 Stunden ago