第153期安全事件

英文標題	My Cloud NAS Devices Vulnerable to Auth Bypass for over a Year
中文標題	西部數據 My Cloud 被發(fā)現(xiàn)權限提升漏洞
作者及單位	Ionut Ilascu
內容概述	研究人員發(fā)現(xiàn)了西部數據 My Cloud 平臺中的一個特權提升漏洞 CVE-2018-17153，攻擊者可利用該漏洞通過 HTTP 請求獲得對設備的管理級訪問權限，從而運行命令、訪問存儲的數據、修改 / 復制數據以及擦除 NAS。對 My Cloud 設備的身份驗證過程會生成綁定到用戶 IP 地址的服務器端會話。完成此步驟后，可以通過在 HTTP 請求中發(fā)送 cookie“username = admin”來調用經過身份驗證的 CGI 模塊。 一年多前，就有研究人員提出這個漏洞，但該公司拒絕承認或解決該問題。研究人員表示黑客很可能利用西部數據的 產品漏洞進行勒索活動，并建議使用 NAS 設備的用戶啟用自動更新并且不要直接將設備暴露在互聯(lián)網上。
新聞鏈接	https://www.bleepingcomputer.com/news/security/my-cloud-nas-devices-vulnerable-to-auth-bypass-for-over-a-year/