Schwere Sicherheitslücke
Backdoor gefährdet Daten auf My-Cloud-Laufwerken von Western Digital
Schlechte Nachrichten für Besitzer einer My Cloud Festplatte von Western Digital. Die Netzwerkfunktionen der vom Hersteller als „zuverlässiger, zentraler, persönlicher Speicher“ vermarkteten Laufwerke sind offenbar nicht nur schlampig programmiert, sondern zudem auch mit einem Hintertürchen ausgestattet.
Vor dem Hintergrund der von James Bercegay veröffentlichten Details zu der Sicherheitslücke gibt das IT-Magazin Techspot Besitzern eines betroffenen My-Cloud-Laufwerks den knappen Rat, ihre Festplatte sofort vom Netzwerk zu trennen und sicher zu stellen, dass dieser Zustand erhalten bleibt, bis der Hersteller ein fehlerbehebendes Update bereitstellt. Für einen Teil der My-Cloud-Produkte sind mittlerweile Updates verfügbar (s.u.).
Bercegay erklärt die Zusammenhänge mit zahlreichen technischen Details angereichert ausführlich, unterm Strich lässt sich aber zusammenfassen, dass Unbefugte mittels vom Hersteller vergebenen Zugangsdaten nicht nur vollen Zugriff auf die darauf gespeicherten Daten erlangen können, sondern der Besuch einer entsprechend modifizierten Webseite zur Folge haben könnte, dass sämtliche Daten auf dem Laufwerk gelöscht werden.
The triviality of exploiting this issues makes it very dangerous, and even wormable. Not only that, but users locked to a LAN are not safe either. An attacker could literally take over your WDMyCloud by just having you visit a website … For example simply visiting the above link will totally destroy a WDMyCloud without the need for any type of authentication whatsoever
Laut aktuellem Informationsstand sind die My-Cloud-Laufwerke My CloudMirror, My Cloud Gen 2, My Cloud PR2100, My Cloud PR4100, My Cloud EX2 Ultra, My Cloud EX2, My Cloud EX4, My Cloud EX2100, My Cloud EX4100, My Cloud DL2100 und My Cloud DL4100 betroffen.
Ergänzung: Prüft die auf eurer Festplatte installierte Firmware. Western Digital hat für einige My-Cloud-Modelle im November ein Update auf Version 2.30.172 veröffentlicht, das den beschriebenen Fehler behebt. Die Aktualisierung wird unbedingt empfohlen. (Danke Dirk)
Juhu :)
die fw 2.30.172 habe ich seit 17. November schon auf meinem dl2100. Wie kann die lücke neu sein?
In den Kommentaren des Techspots-Artikels steht allerdings auch, dass das Problem im November mit einem Firmware-Update behoben wurde. Ähnliches habe ich gestern schon auf Twitter gelesen.
Also ggfs. mal nach einem Firmware-Update Ausschau halten?
Disclaimer: Ich besitze kein solches Produkt, kann’s also nicht ausprobieren.
Du weisst schon was ein Disclaimer ist oder?
Anscheinend nicht. ;)
Eine absolute Frechheit!!!! Ich bezahle viel Geld dafür das meine Daten auf persönlichen Storage gelagert und sicher geschützt sind. Wenn dann eine solche eklatante Sicherheitslücke auftaucht ist es untragbar das der Hersteller Monatelang trotz Kenntnis nicht reagiert, ja im Gegenzug unkommentiert diese gefährdeten Produkte weiter verkauft.
Nichts ist sicher! Es wird immer irgendwelche Sicherheitslücken geben. Es liegt in der Natur der Sache (da von Henschenhand bzw -kopf konstruierte Gegenstände, SW).
Immerhin aber hat WD im Nov mit einem Firmware Update reagiert …
Die meisten wurden anfangs november 2017 bereits gefixt. Also keine Panik
Mich wundert ja das irgendwer erwartet das ein Festplattenhersteller der seit Jahren schlechte Software produziert sein Billignas nicht sicher macht. Hersteller die Ihre Produkte nach nem Jahr nicht mehr mit Softwareupdates versorgen sollte niemand kaufen!
Ist auch MyCloud Mirror Gen. 2 betroffen?
Ja Alle!
Danke!
Um erstemal geschützt zu sein:
Ob es da ausreicht den Cloud Zugriff für die WD eigenen Anwendungen zu deaktivieren?
Um zumindest im LAN noch nutzen zu können…
ging nicht aus den geleakten dokumenten von edward snowden genau das hervor? nämlich , dass wd auf druck seitens der regierung eine backdoor einbaute, die jeglichen, sogar geschützten speicher von wd mit einer hintertüre öffnet? offiziell wurde das nie zugegeben.
langsam denke ich, diese lücken werden absichtlich nicht gefunden, und erst dann gepatcht wenn eine universität, ein sicherheitsforscher usw zufällig darauf stoßen.
dann wird das ganze vom hersteller gepatcht, wobei der patch möglicherweiße eine ganz neue tür aufstößt, die lustigerweiße wieder in 3 jahren erst entdeckt wird.
leid tun mir nur die naivlinge, die alles mit: „Es wird immer irgendwelche Sicherheitslücken geben. Es liegt in der Natur der Sache“ begründen.
hier mal meine begründung: es wird immer leute geben, deren interesse hoch ist, dass eine absolute verschlüsselung IMMER umgangen werden kann. ein blick über den tellerrand abseits der massenverdummenden massenmedien würde schon genügen.
Gerade noch mal recherchiert…
Nur den Cloud Zugriff zu deaktivieren scheint nicht zu reichen.
Und die Firmware-Versionen v04.x sind nicht betroffen. Die habe ich drauf.
Wer bereits die aktuelle Firmware mit dem letzten Update installiert hat, sollte geschützt sein.
Um die Verwirrung noch komplett zu machen:
WdMyCloud Gen. 1 = Firmware 3.x oder 4.x (ältere Version des Geräts)
WdMyCloud Gen. 2 = Firmware 2.x (neuere Version des Geräts)
Klingt unlogisch. Ist aber so!
Beide Versionen sollten mit der aktuellen Firmware nicht mehr angreifbar sein.
Noch mehr Versionsnummer Verwirrung:
Für die My Cloud EX2 scheint das (ebenfalls im November) mit der zugehörigen FW 2.11.168 gefixed zu sein. Jedenfalls hat sie dieselben release notes: https://support.wdc.com/download/notes/WD_MyCloud_EX2_Firmware_Release_Notes_2.11.168.pdf?v=61
Wie kann ich denn meine WD Cloud bei OSX 10.13.2 updaten?
Unter „WD MacCloud Info“ wird nur 0.0.0 angezeigt. Und wenn ich die App selbst aufrufe, finde ich unter Info „Softwareversion 1.0.7.13“.
Ich dachte immer, die Software wird automatisch upgedated.
Wenn ich den Instructions folge: „For Mac, go to the Apple menu and select Software Update“ gibt es (zumindest innerhalb der letzten 30 Tage) kein Update der Firmware.
Was mache ich jetzt wie? Bitte um eine laienhaft verständliche Hilfe. Danke!