WD My Cloud EX2存檔案外洩風險 區域網絡內自由存取

近日有研究人員在主要硬盤供應商 Western Digital 旗下的 NAS 產品,My Cloud EX2 上發現裝置的預先設定令區域網絡內所有人都可以自由存取檔案,無視用戶設定權限的規定,當設定從互聯網遠端連線,My Cloud EX2 會經由 HTTP 訪問 port 9000 洩漏檔案,成為資料外洩的缺口。

Small office or home NAS server. Own cloud or streaming source. Data security solution.

UPnP 媒體伺服器自動啟動惹禍
研究人員表示這次的漏洞源於 UPnP 跟隨裝置在每次啟動時也同時自動啟動,所以在預設設定之下,沒有權限的用戶可以繞過所有管理員的限制,自由存取任何檔案。然而,研究人員將發現報告 Western Digital 的時候,他們的回覆是該不安全的預先設定並不保證會進行修復,只是建議用戶「如果不想使用產品的功能的話」便關閉 DLNA。

只有My Cloud 低階系列預設開啟 DLNA 功能
Western Digital 方面向查詢的傳媒表示,DLNA 功能連接用戶智能手機或電視上的媒體播放器,而 My Cloud 系統內嵌 Twonky Server,容許用戶在區域網絡內自由存取而無需密碼,是常見的 DLNA 伺服器軟件,廠方建議用戶以密碼加密希望保護的檔案,又或者關閉系統中整個 Twonky Server,停止 DLNA 功能。發言人表示 DLNA 功能在全線 My Cloud 及 My Cloud Mirror 產品中預設啟動,而 My Cloud Pro 和 Expert 系列預設關閉,但並沒有對區域連線以外用戶能自由存取檔案的情況作出回應。

根據研究人員對於這次發現的分析,只要 My Cloud EX2 用戶的 port 9000 為開放狀態,攻擊者就可以自由存取系統內的檔案,用戶設定的權限不起任何作用,所以同樣建議用戶關閉 DLNA 功能。其實WD 的 NAS 產品之前也曾被發現漏洞,公司也多次推出補丁修復嚴重漏洞。

資料來源:Threat Post