Из-за чего были стерты данные в NAS Western Digital
Недавно мы обсуждали историю с тем, как у пользователей NAS Western Digital после обновления были стерты все хранящиеся в NAS данные. В Engaget появилась статья, в которой вроде бы объясняется, что именно там произошло - "Hackers exploited two flaws in event that remotely wiped Western Digital devices".
То есть это результат действий хакеров, которые воспользовались найденной уязвимостью, однако что самое странное в этой истории - хакеры запускали сброс устройства, при этом такое действие должно было запрашивать пароль, и в программном обеспечении WD запрос пароля был. Но с какого-то обновления этот запрос был закомментарен (то есть это сделал кто-то внутри компании), и хакеры могли выполнить сброс устройства без запроса пароля. То есть у WD была (или есть) "крыса" внутри компании.
И это очень нехорошая история.
Upd: И еще по этому поводу интересное на Хабре. Уязвимость была известна аж с 2014 года. Но в WD по этому поводу жопу никто так и не приподнял. Упаси меня бог покупать NAS от WD.
Примечательно, что два других пользователя создали себе форки этого кода. 11 июня 2014-го и 29-го августа 2015-го. Утверждать, что о нём никто не знал... ну PR и не на такое способны :)
Получается, "неофициально", но вполне находимо (→ https://gist.github.com/phikshun) эксплоит был публично доступен 7 лет, самое позднее, когда WD получили официальный
пинокрепорт - 2018-ый. Но когда код пишется на тяп-ляп (или матерную форму сего выражения, иначе бы уязвимости не было), а задача поддержки — не ведение базы данных и введение причастных лиц в курс дела, то и получаем отписки