ИБ-специалист Йорик Костер (Yorick Koster) обнаружил опасную брешь в прошивке устройств Seagate Personal Cloud. Проблема связана с Media Server, веб-приложением, работающим на NAS и позволяющим пользователям взаимодействовать с хранящимися на устройстве данными через сеть.
Как выяснил Костер, атакующий может обратиться со специальным запросом к файлам getLogs и uploadTelemetry, осуществив неавторизованную инъекцию команд, что в итоге вынудит устройство их выполнить. Для теста специалист создал proof-of-concept эксплоит, который устанавливал соединение с уязвимым устройством посредством SSH, а затем изменял root-пароль.
Впрочем, эксплуатировать этот баг оказалось не так уж легко. Дело в том, что уязвимый интерфейс доступен только из локальной сети, то есть злоумышленнику нужно либо быть в одной сети с жертвой, либо придется хитростью заманить пользователя, находящегося в одной сети с NAS, на вредоносный сайт. Теоретически, для подобной атаки можно использовать фишинг или вредоносную рекламу. Но если фишинг подойдет разве что для продуманных целевых атак, то сценарий использования вредоносной рекламы подходит для массового применения. Например, эксплоит для Seagate NAS может быть встроен в рекламу на сайте. Когда владелец уязвимого устройства попадет на такой ресурс, скрытый в объявлении код «обратится» к уязвимому Personal Cloud.
Стоит отметить, что подобный сценарий атак нельзя назвать маловероятным. К примеру, эксплоит кит DNSChanger использовал именно такую тактику для заражения IoT-устройств в локальной сети жертв.
Костер связался с представителями Seagate через посредников из программы Beyond Security SecuriTeam, которые еще в октябре 2017 года уведомили инженеров о найденных проблемах от лица специалиста. Хотя разработчики Seagate не стали утруждать себя каким-либо ответом или предоставлением информации о патче, оказалось, что уязвимость все же устранили. Костер обнаружил патч в составе прошивки для Personal Cloud версии 4.3.18.0. Теперь всем пользователям настоятельно рекомендуется обновиться.
