ویسٹرن ڈیجیٹل میرے کلاؤڈ پاس ورڈ کی کمزوری کا پتہ چلا

مغربی ڈیجیٹل میرے کلاؤڈ آلات توثیق کی کمزوری سے متاثر ہوئے ہیں۔ ہیکر پاس ورڈ استعمال کیے بغیر ویب پورٹل کے ذریعہ ڈسک تک مکمل انتظامی رسائی حاصل کرسکتا ہے ، اور اس طرح مائی کلاؤڈ ڈیوائس پر مکمل کنٹرول حاصل کرسکتا ہے۔

حفاظتی امور کے ساتھ مغربی ڈیجیٹل میرا کلاؤڈ

اس کمزوری کی تصدیق فرم ویئر ورژن 2.30.172 چلانے والے مغربی ڈیجیٹل مائی کلاؤڈ WDBCTL0020HWT ماڈل پر کامیابی کے ساتھ کی گئی۔ یہ مسئلہ کسی ایک ماڈل تک محدود نہیں ہے ، کیوں کہ مائی کلاؤڈ سیریز میں زیادہ تر مصنوعات ایک ہی کوڈ کا اشتراک کرتے ہیں ، اور اسی وجہ سے وہی سلامتی کا مسئلہ ہے۔

ویسٹرن ڈیجیٹل میرا کلاؤڈ ایک کم قیمت ، نیٹ ورک سے منسلک اسٹوریج ڈیوائس ہے۔ حال ہی میں یہ دریافت ہوا ہے کہ کچھ معلومات والا صارف آسانی سے ویب کے ذریعے لاگ ان ہوسکتا ہے اور ایڈمنسٹریشن سیشن تشکیل دے سکتا ہے جو IP ایڈریس سے منسلک ہوتا ہے۔ اس پریشانی کا فائدہ اٹھاتے ہوئے ، ایک غیر اعلانیہ حملہ آور ان کمانڈوں پر عمل پیرا ہوسکتا ہے جن میں عام طور پر منتظم کے استحقاق کی ضرورت ہوتی ہے اور مائی کلاؤڈ ڈیوائس پر مکمل کنٹرول حاصل ہوتا ہے۔ یہ مسئلہ اس وقت دریافت کیا گیا جب سیکیورٹی کے معاملات کو دیکھنے کے لئے ریورس انجینئرنگ CGI بائنریز تھے۔

تفصیلات

جب بھی منتظم کی توثیق ہوتی ہے ، سرور کی طرف والا سیشن تیار ہوتا ہے جو صارف کے IP ایڈریس سے منسلک ہوتا ہے۔ ایک بار سیشن تیار ہونے کے بعد ، HTTP درخواست میں صارف نام = ایڈمن کوکی بھیج کر تصدیق شدہ CGI ماڈیولز کو کال کرنا ممکن ہے۔ درخواست کی گئی سی جی آئی جانچ کرے گی کہ آیا کوئی صحیح سیشن موجود ہے اور صارف کے آئی پی ایڈریس سے لنک ہے۔

یہ دریافت کیا گیا تھا کہ غیر اعلانیہ حملہ آور لاگ ان کیے بغیر ایک درست سیشن تشکیل دے سکتا ہے۔ سی جی آئی ماڈیول نیٹ ورک_mgr.cgi ایک کمانڈ پر مشتمل ہے جس میں cgi_get_ipv6 نامی ایک انتظامیہ سیشن شروع ہوتا ہے جو درخواست کنندہ صارف کے IP ایڈریس پر پابند ہوتا ہے جب پیرامیٹر کے جھنڈے کے ساتھ 1 کے برابر ہوتا ہے تو اس کے نتیجے میں کمانڈ کی ضرورت ہوتی ہے جس کی عام طور پر ضرورت ہوتی ہے۔ اگر حملہ آور صارف نام = ایڈمن کوکی سیٹ کرتا ہے تو ، ایڈمنسٹریٹر کے استحقاق کو اب اختیار کیا جائے گا ، جو کسی بھی ہیکر کے لئے کیک کا ٹکڑا ہوگا۔

فی الحال ، مسئلہ حل نہیں ہوا ہے ، ویسٹرن ڈیجیٹل کی جانب سے فرم ویئر اپ ڈیٹ کے منتظر ہیں۔

گرو3 ڈی فونٹ