개인용 nas , WD 마이 클라우드 조심 하 세요 . 인터넷 연결 을 추천 하 지 않 습니다 . ​​   ​   안녕 하 세요 ?   IT 전문가 블랙데빌 입니다 . ​​   Western Digital NAS ( WD 마이 클라우드 / 마클 ) 에서   보안   취약점 이 발견 되 었 습니다 . 개인 용 nas 로 유명 한   모델 의 " Western Digital " 사 의 MyCloud NAS 는   심각 한 수준 의   취약점 이 발견 되 었 는데요 . 발견 된 보안 취약점 은 1 . 공격자 가 사용 자 로그인 ( 인증 ) 을 무시 하 고 NAS 내부 의 프로그램 을 실행 할 수 있 으며 , 2 . 사용자 의 데이터 를 유출 ( 업로드 , 다운로드 ) 할 수 있 는 보안 결함 입니다 . 역자 주 . NAS 의 대문 을 인터넷 에   활짝 ~ 열 어 두 었 다는 의미 입니다 . OTL . ...... 어쩔 . .... 보안 연구원 ( Zenofex ) 가 발견 한 보안 결함 은 아직 Western Digital 에 보 고 되 지 않 았 으며 , 패치 되 지 않 은 상황 입니다 . 취약 부분 의   대부분 이 쉽 게 악용 이 가능 하 기에 심각 한 상황 입니다 . 발견자 에 따르 면 다음 과 같 은 WD MyCloud NAS   모델 이 영향 을 받 습니다 . 영향 을 받 는 여러 MyCloud 제품 들 . ..( 개인용 nas 로   저렴 해서 많이 추천 하 는 마클 , 마이 클라우드 도   모델   있 다는 게 충격 입니다   )    My Cloud   My Cloud Gen 2     My Cloud Mirror     My Cloud PR 2100     My Cloud PR 4100     My Cloud EX 2 Ultra     My Cloud EX 2     My Cloud EX 4     My Cloud EX 2100     My Cloud EX 4100     My Cloud DL 2100     My Cloud DL 4100 ​ 2016 년 에 보안 컨퍼런스 에 참석 한 후 , Western Digital 에 알려 주 지 않 기 로   Zenofex 는 결정 으며 , 다른 정보 보안   전문가 들 은 Western Digital 이 취약 성 보고서 를 무시 해서 불평 했 다고 합니다 . ​ 동일 컨퍼런스 ( Black Hat USA 2016 ) 에서 Western Digital ( WD ) 는 " Lamest Vendor Response " 부문 에서 Pwnie 상 을 수상 하 는 아이러니 한 일 까지 ^^ aZenofex 는 Western Digital 이 보안 버그 를 패치 할 때 까지 기다리 지 않 기 로 결정 했으며 ,   " 보안   결함 을 커뮤니티 에 널리 알리 고 , NAS 사용 자 가 인터넷 네트워크 에서 장치 를 제거 하 고 가능 하 면 인터넷 연결 을 차단 하 는 것 을 권장 합니다 "​ 발견 된 85 가지 의 보안 결함 Exploitee . rs 커뮤니티 의 회원   Zenofex 는 85 가지   다수 의   보안 문제 를 발견 했 다고 전했 습니다 . " Exploitee . rs " 위키 에서 48 개 의 취약점 에 대한 관련 취약점 코드 가 제공 됩니다 . 익스 플로 잇 코드 ( exploit code ) 기반 의 보인 이슈 는 다수 의   결함 을 가질 수 있 습니다 .   예 를 들 면   쿠키 값 을 변경 하 거나 쉘 명령 을 쿠키 매개변수 에 포함 시킴 으로써 말 이 죠 . MyCloud NAS 의 더욱 고도 화 된 공격 시나리오 로써 , 사용 자 가 방문 하 는 웹 사이트 의 이미지 태그 안 에 악의 적 인 코드 를 포함 시킬 수 도 있 습니다 .   이 사이트 에 사용 자 가 방문 할 경우 , 익스 플로 잇 코드 가 NAS 에서 실행 되 어 무력 화 될 수 있 습니다 . ​​​ 보안 연구원 ( Zenofex ) 에 따르 면 이러 한 문제 중 가장 심각 한 부분 은 악용 하 기 쉬운 인증 우회 문제 이 며 , 당황 스럽 게 도 Zenofex 가 로그인 보안 문제 를 조사 하 는 동안 에 WD 의 새로운 펌웨어 가 업데이트 되 었 으며 , 이 펌웨어 는 쿠키 매개변수 ( 파라미터 ) 를 수정 함 으로써 쉘 명령어 ( shell commands ) 를 실행 하 여 권한 을 쉽 게 획득 할 수 있 도록 도와 주 었 습니다 . ​   이 문제 는 허가 되 지 않 은 사용자 ( 공격자 , 해커 ) 의   명령어 의 원격 실행 을 허용 하 기 때문 에 , 무시 할 수 없 는   보안 결함 이 라 할 수 있 습니다 . 그리고 Murphy ' s Law 는 하드웨어 에 도 적용 되 므로 , 심각 하 다 할 수 있 습니다 . 이 명령 은 제한 된 권한 으로 실행 되 는 게 아니 라 , root ( 최고 관리자 ) 의 권한 으로 동작 되 므로 , 공격자 는 NAS 의   전체 권한 ( 모든 권한 ) 을 획득 할 수 있 으며 , 데이터 를 자유 롭 게 업로드 하 거나 다운로드 할 수 있 습니다 . 이 영상 은 보안 연구원 ( Zenofex ) 이 만든 동영상 으로 , 몇 가지 보안 결함 을 보여 줍니다 . 데빌 이 가 심플 하 게 정리 해 보 자면 . ..​ WD 펌웨어 ( 2017 년 3 월 현재 , 최신 버전 포함 ) 와 다수 의 모델 은 심각 한 보 한 결함 이 있 다 . ​ 인터넷 에 연결 하 면 치명 적 일 수 있 으니 ,   보안 수정 된 펌웨어 가 나오 기 전 까지 인터넷 에 연결 해서 는 안 된다 . ​ 이 보안 헛점 은 익스 플로 잇 이 라서 , 최고 관리자 권한 획득 가능 및 자료 의 유출 위험 이 있 으므로 매우 심각 한 보안 헛점 이 다 . 다행이 도 데빌 이 는 몇 년 전 에 WD 마이 클라우드 를 탈출 하 여 , ipTIME NAS 2 Dual 을 이용 하 고 있 답니다 .   휴 ~~~~ 데빌 이 의 나스 리뷰 보 러 가 기 ~ ㄱ ㄱ ~~ http : / / blog . nfolder . net / 220836826321 ? Redirect = Log & from = postViewNAS 작 고 강한 고 성능 ipTIME NAS 2 dual 을 만나 다 NAS 작 고 강한 고 성능 ipTIME NAS 2 dual 을 만나 다 ( 실 전편 ) 안녕 하 세요 . 블랙데빌 입니다 . 오늘 은 . .. blog . naver . com ​​​​   ​ - - - - - - - - - - - - - - - - - - ------------------------​ 위 내용 은 아래 의 정보 를 가지 고 번역 및 재 구성 되 었 습니다 . http : / / www . bleepingcomputer . com / news / security / multiple - unpatched - vulnerabilities - discovered - in - western - digital - nas - hard - drives / Multiple Unpatched Vulnerabilities Discovered in Western Digital NAS Har . .. Multiple Western Digital MyCloud Networked Attached Storage ( NAS ) devices are affected by several security flaws , varying in s . .. www . bleepingcomputer . com