NAS zařízení Seagate obsahují kritickou zranitelnost

V případě že nevěříte online úložištím a raději své data svěříte domácímu síťovému úložišti, neboli NAS. Měli by jste se o své úložiště pravidelně starat a instalovat aktualizace. Bezpečnostní expert OJ Reeves nyní objevil zero-day zranitelnost v NAS zařízeních společnosti Seagate.

Konkrétně se jedná o Seagate Business Storage 2-Bay. Problém spočívá ve vestavěné webové administraci tohoto úložiště. Pomocí této administrace je možné spravovat celé úložiště, vytvářet uživatelské účty a nastavovat těmto účtům přístupová oprávnění. Stejně také je možné spravovat samotné soubory.

Díky nedostatečnému ověření uživatelských práv je možné si manipulací se session zvýšit práva u běžného účtu na úroveň administrátora. Protože jsou identifikátory spojení pro všechny zařízení kódované stejným klíčem je možné přihlašovací cookie použít na jiné instanci a získat tím stejná práva. Je také možné převzít kontrolu nad zařízením a stát se root uživatelém celé instance.

Chyba i přes nahlášení výrobci stále není opravená. Proto pokud máte doma Business Storage 2-Bay NAS version 2014.00319 nebo Business Storage 2-Bay NAS version 2013.60311, doporučujeme u takového zařízení zkontrolovat jestli je dostupné jenom z lokální sítě, nebo i přímo z internetu a pokud ano, takový přístup zakázat v případě ze jej nutně nepotřebujete.