Wären Meltdown und Spectre ein Orkan, ginge die folgende Meldung fast schon als milde Brise durch – dennoch ist sie von einiger Tragweite: Der Festplattenhersteller Western Digital hat anscheinend eine Hintertür in seine My-Cloud-Geräte eingebaut, die den Zugriff auf die in der Cloud gespeicherten Inhalte erlaubt.
Besonders brisant: WD weiß offenbar bereits seit Juni 2017 über die Verwundbarkeit der Hintertür gegenüber Angriffen von außen Bescheid und hat erst Ende letzten Jahres ein Firmware-Update veröffentlicht, das den Fehler beheben soll.
Hardcoded Backdoor ermöglicht Dritten Zugriff auf MyCloud
Wie Techpowerup und Heise berichten, informierte der Software-Entwickler und IT-Experte James Bercegay Western Digital im vergangenen Sommer über die vielfältigen Schwachstellen des My-Cloud-Systems. In einem am 04. Januar 2018 veröffentlichten Bericht weist Bercegay daraufhin, dass die spezifische Struktur des im Rahmen von My Cloud verwendeten PHP-Codes Hackern sehr leicht Zugriff auf Root-Rechte des Geräts verschaffen könne.
Unter anderem kann ein Hacker offenbar den Host-Header im Code als eine von ihm kontrollierte IP-Adresse spezifizieren. Weitere Fehler hebeln dann alle Kontrollmechanismen aus, die eine derartige feindliche Übernahme eigentlich kontern sollen. Daraufhin kann der Hacker dann beliebige Dateien in die My Cloud hochladen.
Ein zweites Problem besteht laut Bercegay in einer von WD installierten, sogenannten hardcoded Backdoor im Code der My Cloud. Offenbar verfügt das System über eine Datei, in der sich der Code für die Authentifizierung des Nutzers während des Login in die My Cloud befindet. Diese Datei benennt einen Admin-Nutzer inklusive Passwort, der im Source-Code der My Cloud verankert ist und sich deshalb nicht ändern lässt.
Über eine simple Anfrage, die ein Hacker in den iframe oder ein img-Tag einer vom Nutzer der My Cloud besuchten Webseite implementiert, ließe sich ebenfalls root-Zugriff auf das My-Cloud-System erlangen. Der Nutzer wäre dieser Übernahme, die potenziell das komplette System zerstören könnte, hilflos ausgeliefert.
Western Digitals My Cloud weist zudem noch einige weitere Sicherheitslücken auf, die Bercegay ausführlich in seiner Analyse erläutert. Von dem Problem sind insgesamt die folgenden Modellreihen der WD My Cloud betroffen:
- My Cloud Gen 2
- My Cloud EX2
- My Cloud EX2 Ultra
- My Cloud PR2100
- My Cloud PR4100
- My Cloud EX4
- My Cloud EX2100
- My Cloud EX4100
- My Cloud DL2100
- My Cloud DL4100
Als Lösung für das Problem empfiehlt Bercegay ein Update der Firmware von WDs My Cloud auf Version 2.30.174, die Nutzer auf der offiziellen WD-Webseite herunterladen können (unter Product Firmware als Produkt My Cloud EX2 Ultra auswählen).
Nur angemeldete Benutzer können kommentieren und bewerten.
Dein Kommentar wurde nicht gespeichert. Dies kann folgende Ursachen haben:
1. Der Kommentar ist länger als 4000 Zeichen.
2. Du hast versucht, einen Kommentar innerhalb der 10-Sekunden-Schreibsperre zu senden.
3. Dein Kommentar wurde als Spam identifiziert. Bitte beachte unsere Richtlinien zum Erstellen von Kommentaren.
4. Du verfügst nicht über die nötigen Schreibrechte bzw. wurdest gebannt.
Bei Fragen oder Problemen nutze bitte das Kontakt-Formular.
Nur angemeldete Benutzer können kommentieren und bewerten.
Nur angemeldete Plus-Mitglieder können Plus-Inhalte kommentieren und bewerten.