Dwa systemy pamięci masowej HP zawierają groźny, nieudokumentowany backdoor

Firma HP potwierdziła, że w jej pamięciach masowych należących do linii StoreOnce D2D Backup i StoreVirtual istnieją nieudokumentowane luki typu backdoor. Znając je haker może uzyskać do tych urządzeń prawo dostępu typu "root" i w konsekwencji przejąć nad nimi pełną kontrolę. Firma informuje, że najnowsze oprogramowanie zarządzające urządzeniami linii StoreOnce D2D Backup (które nie zawiera luki) jest już dostępne, a łata dla urządzeń linni StoreVirtual zostanie zaprezentowana 17-go lipca br.

Obie luki znajdują się w oprogramowaniu zapewniającym użytkownikom systemów pamięci masowych zdalne wsparcie techniczne. Gdy użytkownik zgłasza problem, informatyk HP używa domyślnej nazwy (HPSupport) i domyślnego hasła, logując się w ten sposób do systemu operacyjnego LeftHand zarządzającego systemem pamięci masowej. Znając te dwa domyślne parametry każdy (a więc i haker) może przejąć kontrolę nad urządzeniem.

Systemy StoreOnce D2D Backup, którymi zarządza oprogramowanie 3.0.0 (i nowsze wersje) nie zawierają luki. Do tych urządzeń nie można się już logować używając nazwy HPSupport i domyślnego hasła. Backdoor znajduje się natomiast w tych urządzeniach linii StoreOnce D2D Backup, które pracują pod kontrolą oprogramowania oznaczonego numerem 2.2.17 (i starsze wersje) oraz 1.2.17 (i starsze wersje).

Zobacz również:

  • Veeam: ataki ransomware są coraz silniejsze
  • Apple celowo zaniedbuje starsze wersje macOS. Brak poprawek dla luk zero-day
  • HP naprawia błąd dotyczący kilku serii swoich komputerów

Użytkownicy powinni więc przejść albo od razu na wersję 3.0.0 albo wgrać nowsze wersje wadliwych programów 2.2.17 i 1.2.17 (oznaczone symbolami 2.2.18 i 1.2.18), które są już dostępne. I tu ważna uwaga - ponieważ oprogramowanie 3.0.0 pracuje zupełnie inaczej niż starsze wersje, decydując się na taki upgrade trzeba bezwzględnie wykonać najpierw pełny backup danych i dopiero wtedy przejść na wersję 3.0.0 (a następnie wykonać operację restore).

Jeśli chodzi o urządzenia StoreVirtual, backdoor znajduje się w oprogramowaniu LeftHand 10.5 (i we wszystkich wcześniejszych wersjach). Firma informuje, że kolejna wersja oprogramowania LeftHand (które zawierać będzie opcję pozwalającą użytkownikom deaktywować możliwość logowania się do urządzenia za pomocą domyślnych parametrów uwierzytelniania) pojawi się na jej witrynie 17-go lipca br.).

W celu komercyjnej reprodukcji treści Computerworld należy zakupić licencję. Skontaktuj się z naszym partnerem, YGS Group, pod adresem [email protected]

TOP 200