Bir güvenlik araştırmacısı, şirket güvenliği sağlamada başarısız olduktan sonra popüler bulut depolama sürücüsündeki bir güvenlik açığının ayrıntılarını yayınladı bir yıl boyunca yamalar.

Remco Vermeulen, Western Digital’in My Cloud cihazlarında bir saldırganlık hatası buldu ve bir saldırganın sürücüdeki yönetici şifresini atlamasına ve kullanıcının verileri üzerinde “tam kontrol” kazanmasına izin verdiğini söyledi.

Kötüye kullanım, sürücünün web tabanlı kontrol paneli, daha yüksek düzeyde erişim gerektirmesi gereken araçlara olası bir saldırgan erişimi vermeden önce kullanıcının kimlik bilgilerini doğru bir şekilde kontrol etmediğinden işe yarar.

Vermeulen bir e-postada TechCrunch’a verdiği demeçte, “Mykonos’un bir“ e-postada ”olduğunu ve bir My Cloud cihazının internet üzerinden uzaktan erişime izin vermesi durumunda, binlerce cihazın yaptığı uzaktan hatalara yol açıyordu

. Twitter'da bir konsept kanıtı videosu yayınladı.

Böcekle ilgili ayrıntılar, kendi istismar kodunu yayınlayan başka bir güvenlik ekibi tarafından da bağımsız olarak bulundu.

Vermeulen bir yılı aşkın bir süre önce, Nisan 2017'de bir hatayı bildirdi, ancak şirketin yanıt vermeyi durdurduğunu söyledi. Normalde, güvenlik araştırmacıları bir şirketin endüstri tarafından kabul edilen sorumlu bilgilendirme yönergeleri doğrultusunda yanıt vermesi için 90 gün verir.

WD'nin bulduğu kırılganlığı düzeltmeden My Cloud ürün yazılımını güncellediğini gördükten sonra bulgularını yayınlamaya karar verdi.

Bir yıl sonra, WD hala bir yama yayınlamadı.

Şirket, bu güvenlik açığını bildiğini doğruladı, ancak neden düzeltmek için bir yıldan fazla sürdüğünü söylemedi. Bir sözcünün “birkaç hafta içinde” gelecek olan “bildirilen sorunu çözecek bir programlanmış firmware güncellemesini sonuçlandırma sürecindeyiz” dedi.

WD, My Cloud ürünlerinin birçoğunun, EX2, EX4 ve Mirror dahil olmak üzere, My Cloud Home'u değil de savunmasız olduğunu söyledi.

Bu arada Vermeulen, herhangi bir düzeltme olmadığını ve kullanıcıların verilerinizi güvende tutmak istiyorlarsa, sürücüyü tamamen "yalnızca ayırması" gerektiğini söyledi.

CEVAP VER

Please enter your comment!
Please enter your name here