Western Digital a publié un nouveau micrologiciel My Cloud OS pour corriger une vulnérabilité exploitée par les chasseurs de bugs lors du concours de piratage Pwn2Own 2021 pour réaliser l’exécution de code à distance.
La faille, identifiée comme CVE-2022-23121, a été exploitée par le L’équipe EDG du groupe NCC membres et s’appuyaient sur le service open source nommé « Netatalk Service » qui était inclus dans My Cloud OS.
La vulnérabilité, qui a un score de gravité CVSS v3 de 9,8, permet aux attaquants distants d’exécuter du code arbitraire sur le périphérique cible, dans ce cas, le WD PR4100 NAS, sans nécessiter d’authentification.
« La faille spécifique existe dans la fonction parse_entries. Le problème résulte du manque de gestion appropriée des erreurs lors de l’analyse des entrées AppleDouble », explique Zero Day Initiative. consultatif.
« Un attaquant peut exploiter cette vulnérabilité pour exécuter du code dans le contexte de root. »
Vulnérabilité dans le service Netatalk
Netatalk est une implémentation gratuite et open source du protocole Apple Filing Protocol (AFP), permettant aux systèmes d’exploitation de type Unix de servir de serveurs de fichiers pour les clients macOS.
La version utilisée par WD dans certains de leurs appareils NAS a été publiée en décembre 2018, un cas typique d’un projet open source semi-abandonné qui présentait déjà d’autres failles exploitables connues au moment du concours de piratage.
Pour aggraver les choses, Western Digital PR4100 avait un partage AFP public par défaut, qui était disponible pour les pirates sans nécessiter l’authentification de l’utilisateur.
Le groupe a utilisé cette part publique pour atteindre divers gestionnaires de post-authentification, accélérant et facilitant leurs efforts de piratage.
Après son effet de levier pour RCE dans le récent Pwn2Own, l’équipe de développement de Netatalk a publié version 3.1.13 du logiciel pour corriger les bugs de sécurité.
En plus de CVE-2022-23121, la nouvelle version de Netatalk corrige six autres vulnérabilités, dont certaines sont également des RCE critiques (9.8).
En tant que tel, tous les développeurs de logiciels utilisant l’outil open source particulier sont invités à installer la dernière version du service.
Western Digital retire Netatalk
Western Digital a décidé d’abandonner le service et de le supprimer complètement de My Cloud OS dans mise à jour du micrologiciel 5.19.117il est donc conseillé aux utilisateurs d’appareils WD NAS de mettre à niveau vers cette version ou une version ultérieure.
Les appareils pris en charge par cette version sont listés ci-dessous, et comme tous utilisaient le service exploitable Netatalk, ils sont tous considérés comme vulnérables.
- Mon nuage PR2100
- Mon nuage PR4100
- Mon Cloud EX2 Ultra
- Mon Cloud EX 4100
- My Cloud Mirror Gen 2
- Mon Cloud EX2100
- Mon nuage DL2100
- Mon nuage DL4100
Après la mise à niveau vers la dernière version du micrologiciel, le service Netatalk ne sera plus disponible, mais vous pourrez continuer à accéder aux partages réseau via SMB. Pour plus d’informations sur la façon de procéder, veuillez vous référer à ceci page d’assistance.