西数西部数据mycloud ex2ex2可以备份微信吗

Trustwave发现西数My Cloud EX2 存储设备的默认配置,允许局域网内的所有用户通过HTTP请求检索文件

西数 My Cloud 提供一个非常流行的存储/备份设备选项,允许用户轻松备份重要数据(包括文档、照片囷媒体文件)并将其存储在可移动媒体上

然而,新驱动器将数据公开给未经验证的本地网络用户因为该设备在通电时自动启动即插即用(Upnp)媒体服务器。

默认情况下它允许任何能够向驱动器发送http请求的用户,以便从设备中获取任何文件因此,所有者或管理员设置的任何权限或限制都完全绕过了Trustwave的安全研究人员警告说。

“即使在禁用公共共享时也可以访问存储在存储上的文件。也就是说任何人都可以茬端口 9000 上向 TMSContentDirectory / Control 发送 HTTP 请求来传递各种操作,例如浏览操作返回带有指向设备上单个文件 URL 的 XML

研究人员还发布了一个概念证明,解释攻击者需要將xml包含在http请求中浏览操作中向端口9000请求TMSContentDirectory/Control 资源,这将导致UPnP 服务器响应设备上的文件列表

接下来,攻击者可以使用http请求从设备中获取文件因为它们已经拥有了通向这些文件的url(从上次步骤中收集到的响应)。

Trustwave 表示他们在 1 月 26 日就发现了这个漏洞问题并且也报告给了西部数据公司。不过当时该公司只是建议其用户禁用 DLNA目前 Trustwave 针对该漏洞发布了 POC, 并建议用户关闭 DLNA 以保护数据

本文永久更新链接地址

我要回帖

更多关于 西部数据mycloud ex2 的文章

 

随机推荐