西部資料（WD）的 My Cloud EX2 儲存裝置預設配置洩露檔案資訊

據外媒 4 月 26 日報導，安全公司 Trustwave 的研究人員發現 ，西部資料（Western Digital：簡稱 WD）的My Cloud EX2儲存裝置預設情況下會在本地網路上洩漏檔案，無論使用者設定的許可權如何。並且如果使用者配置裝置進行遠端訪問並使其聯機，則情況會變得更糟。因為在這種情況下，My Cloud EX2 儲存裝置也會通過埠 9000 上的 HTTP 請求洩漏檔案。

根據 Trustwave 釋出的安全公告，My Cloud EX2 驅動器的預設配置允許任何未經身份驗證的本地網路使用者使用 HTTP 請求從裝置獲取任何檔案。即使公共共享被禁用，也可以訪問儲存上的檔案。也就是說，任何人都可以在埠 9000 上向 TMSContentDirectory / Control 傳送 HTTP 請求來傳遞各種操作，例如瀏覽操作返回帶有指向裝置上單個檔案 URL 的 XML 。

Trustwave 研究人員表示，洩露是由於裝置的 UPnP 媒體伺服器在裝置開機時自動啟動。在預設情況下，未經身份驗證的使用者可以完全繞過所有者或管理員設定的任何許可權或限制，從裝置上獲取任何檔案。

Trustwave 表示他們在 1 月 26 日就發現了這個漏洞問題，並且也報告給了西部資料公司。不過當時該公司只是建議其使用者禁用 DLNA。目前 Trustwave 針對該漏洞釋出了 POC， 並建議使用者關閉 DLNA 以保護資料。

來源：hackernews