Western Digital doporučuje odpojit My Book Live a My Book Live Duo od internetu

Western Digital doporučuje odpojit My Book Live a My Book Live Duo od internetu. Důvodem je kritická bezpečnostní chyba CVE-2018-18472 s CVSS 9.8 umožňující vzdálené spouštění příkazů pod právy roota a smazání dat. Poslední aktualizace firmwarů My Book Live proběhla v roce 2015.

25.6.2021 12:00 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[Max]

A to nejsou jediné disky, co mají podobný problém. Vesměs tyto externí disky/boxy schopné připojit se na síť lze dřív nebo později nějak prostřelit.
Zdar Max

[Peter Golis]

Toto tvrdenie sa dá aplikovať na akékoľvek systémy ktoré nemajú nekonečnú podporu.

Čo som sa námatkovo pozrel na odkazovaný link, tak posledný FW pre dané zariadenia bol z roku 2015. Ale som rád, že sa k tej chybe z roku 2018 vyjadrili.

[cyx]

Ne. Si někdy přečti jak moc trapný díry (backdoory) se v těchhle věcech vyskytujou. Děravý webový aplikace běžící s právy roota, "omylem" zapomenutý root shell s pevným heslem vystrčený na podivném portu, dodrbaný UPnP přístupný všem, použití speciálního user-agenta obejde přihlašování nebo přiměje router ať stáhne a spustí soubor z nějaké IP adresy (opět backdoory, ne nějaké buffer overflow)...

[Peter Golis]

Chyby sa sa vyskytujú v každom na rýchlo vytvorenom produkte kde ide len o rýchlosť uvedenia na trh, a zníženie nákladov. A to aj mimo sektora IT.

Od toho vymysleli záručnú dobu, ktorá pre zrovna tieto produkty od WD definitívne zomrela pred vyše piatimi rokmi.

[Fish]

Dobrý den pane Golis. Všeobecně máte pravdu, ale to, že poslední aktualizace proběhla v roce 2015 nic nevypovídá o kvalitě softwaru. V tomto případě tedy ano, ale je i sw, který nemá aktualizace třeba 10 let, a je v pohodě. A proč? Protože byl napsán kvalitně a žádné aktualizace nepotřebuje, protože nemá žádné díry. Možná tento druh sw neznáte a setkáváte pouze s nekvalitním sw, a možná i takový sw, dle vašich moudrých reakcí vytváříte, ale soudit nějaký sw jen podle data aktualizace je trošku krátkozraké......

[cyx]

Je vidět, že o tom nic nevíš. Mít občas někde chybu je normální. Pouštět všechno pod rootem a mít amatérský díry všude je nedbalost nebo záměr. Půlka problémů je proostě o tom, že výrobci mezi těmi tisíci zaměstnanci nenajdou toho jednoho, kterej by se postaral o rozdělení oprávnění a prostě by to jádro jednou navrhl pořádně. Tadyta konfigurační služba měla prostě spouštět konfigurační skript co má setuid bit a tvrdou kontrolu vstupů a tu konfiguraci zapíše. Sama neměla mít právo číst skoro nic a zapisovat nic. Pak bychom se dočetli o krásné zranitelnosti, přes kterou je možný tak maximálně spustit fork bombu.

[Peter Golis]

Napríklad u krajčíra sa takému niečomu hovorí: Šité horúcou ihlou.

Ale kľudne pokračuj. Potvrdzuješ moje slová, aj keď si ich privlastňuješ.

[cyx]

10 let šijou NASy horkou jehlou? :)

[otasomil]

No ja furt mam podezreni ze je v takovychto zarizenich nejaky user se znamym heslem (nemusi bejt ani root) To vubec netusime az bude nekdy vsude IPv6 a spusti se v NAS neco takovyho:

python3 -m http.server 8088 --bind :: -d /

Tak to bude teprve parada... vsechno jako na dlani...

[cyx]

Podezření? :) Zkus pogooglit a budeš mít jistotu. :)

[Michal Kubeček]

Lépe v mylné naději sníti
před sebou čirou temnotu
nežli budoucnost odhaliti
strašlivou poznati jistotu.

[Tomáš Roll]

Data v cloudu = data v čoudu.

Nabídka dnes platí i pro vaše lokální disky! Stačí je ke cloudu připojit. A to se vyplatí!

[Radius]

Fakt se divim lidem, co tohle kupují. Vzdyt se da koupit levna deska s Atomem (armem), jedna ramka, 2 disky, nejaly zdroj, idealne UPS a net. Hotovo. Distribuce na nas jsou, dokonce založené i na BSD a kdo tomu neveri, nainstaluje treba Debian a sambu. Hotovo dvacet. Me takhle jedenact let bezi deska D510MO a jen menim kazdy 3 roky disky a upgraduju kazdy dva roky Ubuntu. Finito, hotovo, funkcni. Dneska bych to stavel na Rapsberry, tehda jeste nebylo a hlavne rpi1 je pomaly, koupil jsem pozdeji BananaPi, ze z nej bude novy NAS, ale netušil jsem, ze vydrzi tak dlouho a porad drzi a jede. Banan mezitim zfousatel :D

[Max]

Uvědom si, že sotva si ten scope lidí, na které je tento produkt zaměřen, nastaví TV .
Zdar Max

[j]

Zas nadruhou stranu, drtiva vetsina lidi (99,99999%) netusi co je to NAS a k cemu je to dobry. Totez se tyce i jakykoli jiny formy externiho disku, takze ten kdo to kupuje by moh (trochu) tusit.

Problem je ale v tom, ze ty lidi chteji ten "levnej" disk, a tak holt zaplatej ... v podobe dat. Protoze aspon trochu normalni uloziste rozhodne nestoji min, nez normalni dalsi PC.

Mno a kdyz on jim nekdo ten cmoud prece nabizi uplne zadarmo ... zejo ...

Jinak pokud se chces pobavit, tak se mrkni trebas ... na Hp ilo, to ti (bez prihlaseni) praskne o danym stroji uplne vsechno, vcetne seriovych cisel. Takze asi takhle nejak vypada "profesionelni" HW ...

---

Dete s tim guuglem dopice!

[Max]

iLO samozřejmě znám, stejně tak jak bývá děravý, jak se v iLO nebo na na Supermicro vypne buglý protokol IPMI apod.
Je myslím jasné, kam HPE s iLO míří a je to docela síla, jen ta bezpečnost by mohla být lepší.
Zdar Max