Western Digital／Synology NAS デバイスの脆弱性：数百万ユーザーのファイルが流出

Western Digital, Synology NAS Vulnerabilities Exposed Millions of Users’ Files

2023/08/09 SecurityWeek — IoT／OT サイバー・セキュリティ企業 Claroty の調査により、Western Digital (WD) と Synology の NAS (Network Attached Storage) 製品に深刻な脆弱性が発見された。同社によると、数百万人のユーザーの、ファイルが流出した可能性があるという。これらの脆弱性と、その悪用の検証は、2022年12月に Zero Day Initiative がトロントで開催した、ハッカー・コンテスト Pwn2Own で実演されている。参加者たちはスマートフォン／プリンター／ルーター／NAS デバイス／スマート・スピーカーなどをハッキングして、総額 $1M 近くの報奨金を獲得した。

Western Digital と Synology は、パッチの配布あるいは自動更新を行い、ユーザーに対して脆弱性を知らせるアドバイザリを発表した。Synology はアドバイザリを１回発表し、WD はアドバイザリを 12月／1月／5月の３回発表している。

WD のケースでは、 Claroty の研究者たちはクラウドに接続された全ての NAS デバイスを列挙し、そのデバイスになりすました上で、ベンダーの MyCloud サービスを通じて各システムにアクセスする方法を発見した。この脆弱性の悪用に成功した攻撃者は、リモートからユーザーのファイルにアクセスし、任意のコードを実行し、クラウド接続されたデバイスの完全な制御が可能になることが判明した。

Claroty は、「まず、全てのデバイスの GUID を列挙して、ターゲットを選択する。続いて、それらのデバイスになりすまし、クラウド・トンネルを盗み、デバイスを遮断する。デバイスへのリクエストは、その全てが手元に届き、デバイス管理者の認証トークンが得られる」と説明している。

新しく得た権限を悪用することで、それらのデバイス上で新しい共有を作成し、/tmp ディレクトリにマッピングする。そして、そのディレクトリにリバースシェルのペイロードを書き込み、クラウドを通して再起動を呼び出す。すると。デバイスが再起動するたびに、我々のペイロードが実行され、その結果として、デバイス上でコードを実行できるようになる。

さらに Claroty は、Synology NAS デバイスになりすまし、QuickConnect クラウド・サービスのユーザーを、攻撃者がコントロールするデバイスにリダイレクトできる脆弱性も発見した。この脆弱性の悪用に成功した攻撃者は、認証情報の窃取／ユーザー・データへのアクセス／リモートでの任意のコード実行などを可能にしていた。

Claroty の調査により、何百万台もの WD／Synology NAS デバイスが攻撃に対して脆弱であることが判明した。WD と Synology の双方とも、機密性が低く、一般に知られている情報に基づく弱いデバイス認証による悪用が可能であるという。Claroty は、同様の問題が他のベンダーのデバイスにも影響を与えている可能性が高いと見ている。

NAS (Network Attached Storage) 製品に存在する脆弱性と、それを悪用する大規模な攻撃が止まりません。Western Digital と Synology の両社は、幾度となく攻撃を受けています。よろしければ、NAS で検索も、ご利用ください。