CERT.org предупреждает о наличии трех серьезных брешей в прошивке беспроводных накопителей Seagate.

Беспроводные жесткие диски представляют собой комбинацию винчестера и беспроводного контроллера и используются как хранилище файлов, к которому могут подключаться несколько беспроводных устройств одновременно. Хотя устройство позиционируется как девайс для домашнего использования, он удобен в том числе как небольшой сервер для предприятий малого бизнеса.

Все три уязвимости эксплуатируются невероятно просто (злоумышленнику надо всего лишь быть в зоне действия беспроводной сети) и в комбинации дают почти неограниченные возможности несанкционированного доступа. Один из багов позволяет получить доступ к «незадокументированным Telnet-сервисам», используя дефолтные учетные данные: пароль и логин (оба «root») жестко запрограммированы в прошивке. Также в устройстве имеется еще пара багов, которые позволяют атакующему сохранять любые файлы в директории диска или загружать туда свои файлы, в  том числе и вредоносные.

Багам подвержены такие модели дисков Seagate, как Seagate Wireless Plus Mobile Storage, Seagate Wireless Mobile Storage и LaCie FUEL с версиями прошивки 2.2.0.005 и 2.3.0.014. Вероятно, другие модели накопителей также могут быть уязвимы.

Seagate отреагировала на новость новой прошивкой (версия 3.4.1.105), в которой, по словам вендора, «закрыты все уязвимости». Также компания рекомендует регулярно проверять центр загрузок на наличие новых версий прошивки, что, скорее всего, вряд ли заставит пользователей более ответственно относиться к своевременному обновлению девайса: например, несмотря на то, что в популярных моделях домашних Wi-Fi-маршрутизаторов постоянно находят огромное количество багов, редкий пользователь хотя бы раз в жизни обновлял прошивку роутера.

Категории: Главное, Уязвимости