Adatlopást tehet lehetővé a Lenovo adattárolóinak hibája

​A Lenovo egyes NAS-adattárolóinak esetében egy biztonsági résre derült fény.
 

A Vertical Structure és a WhiteHat Security biztonsági kutatói egy veszélyes sérülékenységre hívták fel a figyelmet azután, hogy alaposan szemügyre vették a Lenovo egyes adattároló eszközeit. Jelen esetben a még mindig viszonylag széles körben használt Iomega/LenovoEMC berendezésekről van szó.
 
A szakemberek arra jöttek rá, hogy egy API-n keresztül egy támadó lekérdezheti az adattárolókon lévő fájlok listáját, és azokhoz hozzáférést is szerezhet.
 
"A szóban forgó API teljes mértékben elérhető és használható mindenféle authentikáció nélkül. Lehetőséget ad fájllistázásra és fájlok letöltésére távolról, meglehetősen triviális módszerekkel" - nyilatkozta Simon Whittaker, a Vertical Structure igazgatója.
 
A biztonsági szakértők a felfedezésükről értesítették a Lenovot, amely egy biztonsági közleményben ismerte el a sebezhetőség létezését. Egyúttal közölte, hogy mely eszközök érintettek, és hogy azok esetében a legutóbbi firmware verziókra történő frissítéssel megszüntethetők a biztonsági rés kockázatai. Az érintett termékek:
 
px12-350r, ix12-300r, version 4.0.24.34808:
HMNHD (Home Media Network Hard Drive) Cloud Edition
StorCenter ix2-200, Cloud Edition
StorCenter ix4-200d, Cloud Edition
StorCenter ix4-200d
StorCenter ix4-200r
 
A kockázatokat fokozza, hogy az eddigi vizsgálatok alapján lehetőség nyílhat a sérülékenység automatizált kihasználására. A Shodan kereső több mint ötezer ilyen védtelen készüléket tart nyilván, amelyek az internet felől a szóban forgó biztonsági résen keresztül is támadhatók.
 
A Lenovo az érintett adattárolók mielőbbi frissítését javasolta. Emellett azt tanácsolta, hogy frissítés hiányában célszerű leválasztani az internetről ezeket az eszközöket, és csak megbízható - belső - hálózatból elérhetővé tenni azokat.