Western Digital schließt Lücke in NAS-Geräten

Western Digital hat mit erheblicher Verzögerung einen Hotfix für seine My-Cloud-Serie bereitgestellt, um eine schwerwiegende Sicherheitslücke zu beheben, die Angreifern eine relativ einfache Umgehung des Passwortschutzes aus der Ferne erlaubte. Die Firmware 2.30.196 steht auf der Website von WD zum Download bereit, begleitet von Hinweisen zum manuellen Update auf My Cloud.

WD MyCloud DL2100 (Bild: WD)

Obwohl längst Exploits online zirkulierten, ließ der Hersteller allerdings rund eineinhalb Jahre vergehen, seit er von einem Sicherheitsforscher über die Lücke in Kenntnis gesetzt wurde. In dieser Zeit blieben viele Tausend dieser Einsteiger-NAS-Geräte über das Internet erreichbar und potentiell gefährdet.

Der Fehler steckt in der Web-Oberfläche der My-Cloud-Geräte. Sie prüft die Anmeldedaten nicht ausreichend, bevor sie Zugriff auf wichtige Werkzeuge gibt, die eigentlich Nutzern mit höheren Rechten vorbehalten sein sollten. Ein Angreifer kann so einen Administratorenzugang erhalten, ohne selbst über ein Passwort zu verfügen. Auch ohne Authentifizierung kann er dann Befehle ausführen, die eigentlich Administrationsrechte erfordern.

Remco Vermeulen entdeckte das Sicherheitsloch in den Speichergeräten am 9. April 2017 und meldete es schon einen Tag später erstmals an den Support von Western Digital. Irgendwann habe Western Digital jedoch nicht mehr auf seine Anfragen reagiert – während zwischenzeitlich veröffentlichte Firmware-Updates das Problem nicht behoben. Vermeulen gewann den Eindruck, dass WD „Sicherheit nicht sehr ernst nimmt“. Das Unternehmen „weigerte sich, die Entdeckung einzuräumen und das Problem zu beheben“.

Bewegung in die Angelegenheit kam erst in diesem Jahr. Auch ein Forscher bei Exploitee.rs stieß auf die kritische Lücke und stellte sie nach ausbleibender Reaktion im Juli 2018 auf der Sicherheitskonferenz Defcon 25 vor. Auch Vermeulen machte seine Entdeckung aus dem Vorjahr öffentlich und sorgte für den Eintrag CVE-2018-17153 in der National Vulnerability Database.

Nach der Veröffentlichung dieses Eintrags am 18. September 2018 und darauf folgenden Medienberichten reagierte Western Digital schließlich. Es erklärte schon einen Tag später, ein Firmware-Update zur Behebung des berichteten Problems sei kurz vor der Fertigstellung. Mit dessen Veröffentlichung sei „innerhalb weniger Wochen“ zu rechnen. Überraschend sollte es dann nur noch zwei weitere Tage dauern, bis die Firmware mit dem Hotfix verfügbar wurde.

[mit Material von Charlie Osborne, ZDNet.com]