Lenovo/Iomega的NAS存在权限控制缺陷,导致海量信息泄露

iso60001  36天前

22.jpg

最近,Lenovo发布了Lenovo/Iomega旗下NAS设备的安全通告。这些设备被安全研究人员发现存在信息泄露漏洞,导致大量敏感数据暴露在公网。

研究人员警告到,LenovoEMC(Lenovo和EMC的合资公司)存储设备和EMC旗下Iomega品牌的NAS设备存在安全漏洞,可能导致存储这些设备上的数据遭到破坏。联想于周二披露了这一信息

33.png

研究人员之所以能发现这个漏洞,是因为他们在shodan上无意中发现了暴露在公网的36TB数据,其中涉及5114个设备,3030106个文件(其中包括20000个文档,13000电子表格,13000文本文件和405000张图片)。这些数据中包括很多敏感的财务信息,例如支付卡号码和交易记录。

研究人员相信存在该缺陷的设备肯定不止5114个,因为这只是他们能搜索到的设备。

在研究人员在周二发布的文章中表示:“2018年秋,在用shodan进行日常的安全扫描时,一名Vertical Structure的工作人员发现了一些没有任何标记的文件,这看起来很看怪异。”

之后,这名工作人员通知了WhiteHat Security,以共同调查此事。而WhiteHat Security随后发现,这起数据泄露事件与之前基于云端或基于NAS设备web接口的数据泄露事件有所不同,是与LenovoEMC应用的接口(API)有关。

研究人员还表示:“这个API完全不存在身份验证,任何人只要发送简单的请求就能够远程列出、访问和检索文件。它就像是数百万个可任意访问的Amazon S3存储桶的集合体。”

该漏洞的根本原因在于NAS的固件存在缺陷,开发人员必须彻底修改API的访问权限。

目前还没有公布具体的修复时间,但研究人员表示,Lenovo在接到报告后已迅速采取行动来解决问题。该漏洞的具体细节也没有公布。Lenovo的安全公告只表示,该漏洞“可能允许未经身份验证的用户通过API访问NAS的文件”。

受影响的型号包括:

LenovoEMC StorCenter刀片服务器(Px12-350R和ix12-300r)

家庭媒体网络硬盘(云版本3.2.16.30221)

Iomega的NAS设备——StorCenter ix2-200、ix4-200d、ix4-200rl以及StorCenter(云版本)ix2-200和ix4-200d

在发现了这个漏洞后,Lenovo把存在漏洞的固件版本从官网上撤下,以便进行检查和修复,随后还放出了以前版本的固件,以方便有需求的用户下载。

在今年的7月1日,Swascan的研究人员发现了联想服务器/应用的9个漏洞。而在去年,联想修复了LenovoEMC和Iomega中影响了20个NAS型号的9个漏洞,其中包括8款LenovoEMC NAS (PX)设备,9款Iomega StoreCenter (PX和IX)设备以及Lenovo的ix4-300d、ix2、EZ媒体备份中心。同时在去年ISE实验室也发现了与权限认证有关的漏洞。

本文由白帽汇整理并翻译,不代表白帽汇任何观点和立场
来源:https://threatpost.com/lenovoemc-storage-leak-financial-data/146494/
     https://securityaffairs.co/wordpress/88501/hacking/iomega-lenovo-nas-devices-flaw.html

最新评论

昵称
邮箱
提交评论

友情链接:FOFA FOEYE BCSEC BAIMAOHUI 安全客 i春秋

nosec.org All Rights Reserved 京ICP备15042518号