リモートからファクトリーリセット攻撃にあった Western Digital の古い NAS、新しい脆弱性が見つかる

2021年7月2日 18:03

headless 曰く、

未修正の脆弱性を突かれてリモートからファクトリーリセットが実行された Western Digital の WD My Book Live/Live Duo で、新たな脆弱性が見つかったそうだ(Western Digital のアドバイザリー、 Ars Technica の記事)。

この脆弱性(CVE-2021-35941)は認証なしにファクトリーリセットが可能になるというもので、2011年4月に認証ロジックのリファクタリングを行った際に導入されたという。リファクタリングの目的としては、複数ファイルで個別に実装されていた認証ロジックを単一のファイルにまとめるというものだ。しかし、ファクトリーリセットに関する system_factory_restore.php では認証ロジックを削除した一方で、このファイルの適切な認証タイプが component_config.php に追加されていなかったという。

当初、リモートからのファクトリーリセット攻撃には CVE-2018-18472 の脆弱性が使われたと考えられていたが、CVE-2021-35941 も使われていたようだ。被害にあったユーザーのログをWestern Digital が確認したところ、複数の国のさまざまな IP アドレスから攻撃が行われていたという。中には同じ攻撃者が CVE-2018-18472 で悪意あるバイナリーをインストールし、後に CVE-2021-35941 でデバイスをリセットしていたケースもあるとのこと。ボットネット運用者がライバルのボットネットを妨害するために実行したという説も出ている。

この問題を受けて Western Digital では影響を受けるデバイスをインターネットから切り離すことを推奨していたが、7月にはデータ復旧サービスとサポートされる My Cloud デバイスへのトレードインプログラムを開始するとのことだ。

スラド
三菱電機、鉄道向け設備で1980年代から不正検査。数値を偽装する専用プログラム用意 2021年7月2日 17:10

三菱電機、鉄道向け設備で1980年代から不正検査。数値を偽装する専用プログラム用意

スラド

著者: nagazou

2021年7月2日 17:10

三菱電機は鉄道向けの設備を製造する長崎製作所で29日、不正検査があったと発表した。不正検査は1980年代から30年以上にわたって行われた可能性が高いという。同工場では空調設備を担当していた。さらに翌30日には鉄道のブレーキなどに使う空気圧縮機でも不正検査があったことが判明している（NHK、読売新聞、朝日新聞、共同通信、FNNプライムオンライン、日経新聞）。

こうした不正検査には顧客などに提出する検査表に、過去のデータを元に自動的に数値を生成・偽装するプログラムが使用されていたという。日経新聞によると、このプログラムの使用には事前に事業所内で定められた手順を取る必要があったそうだ。このため組織的な関与であることは明らかであると指摘している。

スラド
銚子電鉄、株主総会で廃線を求められる。ぬれ煎餅販売を本業にと 2021年7月2日 14:00

銚子電鉄、株主総会で廃線を求められる。ぬれ煎餅販売を本業にと

スラド

著者: nagazou

2021年7月2日 14:00

千葉県銚子市の銚子電鉄で6月30日に総会が開かれた。朝日新聞の記事によれば、筆頭株主の地元男性から鉄道事業を見直した方がいいのではないかとする指摘があったそうだ。銚子電鉄側は、鉄道をやめて副業だけを残す案は「副業の売上高も激減する」と否定したという（朝日新聞）。

この日発表された2020年度決算によると、同社鉄道部門の輸送人員はコロナ禍の影響もあって前年度比22.8％減となる27万2114人、売上高も同じく22.1％減となる7856万円だった。一方で副業のぬれ煎餅などの物販部門では3億9783万円と横ばいで駅売りは低下したものの、オンラインショップの売上高が10倍とこれをフォローすることに成功した。

なお雇用調整助成金や持続化給付金もあったため、当期損失は前年度の1947万よりも少ない709万円にとどまったとしている。

すべて読む | ビジネス |

ノーマルビュー