一 漏洞概述

1.1简介

      Western Digital （西部数据公司，以下简称 WD）是一家全球知名的硬盘厂商，成立于1970 年，目前总

部位于美国加州，在世界各地设有分公司或办事处，为全球五大洲用户提供存储器产品。WD My Cloud 是 WD

旗下一款知名的 NAS成品。 2018 年 09 月 18 日，Securify 披露了一个WD My Cloud 的登录绕过漏洞，该

漏洞时间线如下：

⚫ 2017 年 04 月 09 日，Securify 首次发现了该漏洞，并于次日报告给了WD官方。截止在 09 月 18 日在网

上披露，官方一直未对该漏洞作出回应。
⚫ 2017 年 07 月 29 日，Exploitee.rs 也独立发现了该漏洞并在 DEFCON 25 上公开，并称WD官方拒绝承认

和修复该漏洞。
⚫ 2017 年 08 月 06 日，Exploitee.rs 在网上公开了登录绕过的漏洞细节。值得一提的是，WD My Cloud

在登录后，存在 30 余个命令注入点,结合这个登录绕过漏洞，可以无限制远程命令执行。网上也公开了远程命令执

行的msf EXP 脚本。
⚫ 2018 年 09 月 17 日，Securify 选择申请 CVE 编号并将该漏洞公开，次日该漏洞被赋予 CVE 编号 CVE-2018-17153。

⚫ 2018 年 09 月 19 日，WD发布安全公告，声称正计划对含漏洞的固件进行更新，并预计在在接下来的几周内

放出固件补丁。同时建议用户关闭 NAS 的公网入口。 2018 年 09 月 20 日，Seebug 漏洞平台收录了该漏洞，

知道创宇 404 实验室漏洞情报团队随后开始漏洞应急。

1.2影响版本

• Western Digital My Cloud（暂无详细受影响设备列表，请自行排查）

 

二 漏洞复现

2.1 复现环境

     WD My Cloud EX2 Ultra

2.2 复现过程及结果

     需要使用 curl 发送两个请求，第一个请求用于绕过登录，第二个请求用来命令执行。复现结果如下，可以看到，

我们成功在目标系统上执行命令并获取了执行结果。

 

三 影响范围

     根据ZoomEye网络空间搜索引擎对关键字 "/web/images/Logo_16x16.ico" 进行搜索，共得到 56,344 条 IP 历史记录，

主要分布在美国、德国、英国等国家。 由于 WD My Cloud 存在几十个历史漏洞，登陆后，也存在 30 余个命令注入点，这意

味着该登录绕过漏洞危害很大，可以无限制远程命令执行。建议在WD官方发布固件补丁前将设备同公网隔离。

 

四 修复建议

1.WD官方建议：关闭 NAS 公网入口[6]。补丁将在接下来的几周内陆续释放，敬请期待

2.技术业务咨询：

知道创宇技术业务咨询热线：400-060-9587（政府、国有企业）

                                                028-68360638（互联网企业）

 

四 相关链接

参考链接:

[1] WD官网 ：https://www.wdc.com/en-us/

[2] My Cloud 官网 :http://mycloud.com/#/

[3] Securify 漏洞披露 :
https://www.securify.nl/en/advisory/SFY20180102/authentication-bypass-vulnerability
-in-western-digital-my-cloud-allows-escalation-to-admin-privileges.html

[4] Exploitee.rs 漏洞细节 :
https://www.exploitee.rs/index.php/Western_Digital_MyCloud#.2Fweb.2Faddons.2Fs
afepoints_api.php

[5] 无限制远程命令执行 msf EXP :
https://pastecry.pt/dUHB3e#PewMuk%3AUt2Ek3Bee4Rej2Syz5Mek

[6] WD 安全公告 :
https://blog.westerndigital.com/western-digital-my-cloud-update/

[7] Seebug 漏洞收录 :
https://www.seebug.org/vuldb/ssvid-97550

[8] ZoomEye 网络空间搜索引擎 :
https://www.zoomeye.org/searchResult?q=%22%2Fweb%2Fimages%2FLogo_16x1
6.ico%22