多款NAS裝置爆遠端命令執行漏洞，目前尚無補丁、利用程式碼已放出

由於網路附加儲存（Network Attached Storage，NAS）裝置為資料儲存和儲存空間擴充套件提供了一種便捷且經濟的方法，因此這一類產品已經成為了許多中小型企業的首選儲存裝置。但它能夠保障企業的資料安全嗎？國外網路安全網站WizCase於近日給我們帶來了答案——“似乎並不能夠”。

WizCase在近日發表的一篇博文中指出，他們日前邀請安全專家 Paulos Yibelo和Daniel Eshetu一起對一些受歡迎的NAS裝置進行了安全測試，從中發現了兩個可能允許攻擊者任意讀取檔案、新增/刪除使用者、新增/修改現有資料，以及在裝置上遠端執行具有最高許可權命令的關鍵漏洞（CVE-2018-18471和CVE-2018-18472）。

正如WizCase在博文中所提到的那樣，他們一共對四款NAS裝置進行了測試，這包括WD My Book、SeaGate Home、NetGear Stora和Medion LifeCloud NAS。其中，SeaGate Home、NetGear Stora和Medion LifeCloud NAS均受到CVE-2018-18471的影響，而WD My Book則受到CVE-2018-18472的影響。

CVE-2018-18471是一個存在於Axentra Hipserv NAS韌體中的XXE及未經驗證的遠端命令執行漏洞。Axentra Hipserv是一種NAS作業系統，可為不同NAS裝置提供基於雲的登入和檔案儲存、管理功能。由於SeaGate Home、NetGear Stora和Medion LifeCloud NAS都採用了這種韌體，因此它們均受到該漏洞的影響。值得注意的是，其他使用該韌體的裝置同樣也可能受該漏洞影響。

WD MyBook Live和某些型號的WD MyCloud NAS則受到CVE-2018-18471的影響，允許任何人以root使用者身份在裝置上執行命令。根據WizCase的描述，這個漏洞存在於REST API中的語言更改和修改功能中。

西部資料（Western Digital，WD）在寫給WizCase的回覆中表示，CVE-2018-18472會影響到最初在2010年至2012年期間推向市場的My Book Live裝置。由於這些產品已經在2014年停產，因此使用者可能無法獲得來自西部資料的技術支援。

WizCase在博文中還指出，根據他們的統計，目前約有200萬臺受漏洞影響的裝置線上連線。由於這兩個漏洞還沒有對應的修復補丁可用，並且PoC漏洞利用程式碼已經發布。因此，如果你正在使用這些裝置，請務必斷開它們與網際網路的連線，或者使用防火牆來阻止對這些裝置的遠端訪問。

宣告：本文來自黑客視界，版權歸作者所有。文章內容僅代表作者獨立觀點，不代表安全內參立場，轉載目的在於傳遞更多資訊。如需轉載，請聯絡原作者獲取授權。