西数CloudOS3旧NAS平台亦曝出严重安全漏洞

在6月下旬曝出了NAS数据会被恶意攻击者抹除的猛料之后， KrebsOnSecurity又介绍了在更多WD设备中发现的一个新漏洞。安全研究人员PedroRibeiro与RadekDomanski指出，问题似乎集中在CloudOS3平台、而不是新近发布的CloudOS5上。然而由于后者缺乏某些功能和特性，许多用户都宁可运行无补丁可打的旧版软件。

一方面， WD表示不会为CloudOS3设备提供安全更新补丁。另一方面，一些用户也苦恼于无法升级至CloudOS5 。
支持页面显示， CloudOS5并不适用于MyCloudEX2/EX4、或某些版本的MyCloud和MyCloudMirror 。

对于这部分用户， WD建议是换用支持新版软件的设备。或者参考去年致Comparitech的一份声明，直接在控制台中将远程访问功能给禁用掉。
安全研究人员指出，他们可以远程访问到一台CloudOS3设备，然后给它刷入修改后的新固件。

按照惯例，固件更新功能仅面向经过身份验证的用户开放，但FlashbackTeam还是成功地绕过了这一限制，原因是NAS上似乎有一个密码为空的用户账户。

借助相关漏洞，攻击者可在NAS上执行任意命令。或者黑客也可以利用固件更新功能，让设备直接变砖。
Exploiting&Patchinga0-DayRCEVulnerabilityinaWDNAS（via）
【西数CloudOS3旧NAS平台亦曝出严重安全漏洞】尴尬的是，尽管研究人员设法编译了一个自定义的安全补丁，但在每次重启后，用户仍需手动将之应用于设备。