Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Bug nei NAS Iomega. Milioni di file esposti su Internet

Lug 17, 2019 Marco Schiaffino In evidenza, News, RSS, Vulnerabilità 0

Il problema riguarda una API che consente di accedere a qualsiasi file senza autenticazione. La patch? Lenovo ci sta ancora lavorando…

Anche se il marchio sembra arrivare da un passato remoto, la vulnerabilità che affligge i NAS Iomega (storico brand del settore storage che nel 2013 è stato “resuscitato“ da Lenovo) è un problema terribilmente attuale e che probabilmente vedrà una soluzione solo nel futuro. Quanto prossimo, si vedrà.

A riportare la vicenda sono i colleghi di The Register, che in un articolo pubblicato ieri citano come fonti le due società di sicurezza (la statunitense WhiteHat Security e la nord-irlandese Vertical Structure) che hanno individuato il bug.

I ricercatori non diffondono dettagli tecnici, ma si tratterebbe di una falla di sicurezza in una API che, in pratica, espone tutti i file su Internet e che consentirebbe a chiunque di accedervi liberamente.

La scoperta sarebbe seguita a una ricerca su Shodan (il servizio online che permette di tracciare qualsiasi dispositivo su Internet) da cui è emersa la presenza di milioni di file accessibili a chiunque.

Insomma: qualcosa di molto simile a quello che succede sempre più spesso con i famigerati Bucket S3 “aperti” che vengono individuati con sconcertante frequenza su Internet.

Nel dettaglio, i ricercatori hanno individuato 13.000 fogli di calcolo contenenti l’indicizzazione di 3.030.106 file per un totale di 36 terabyte di dati.

Buona parte di questi (405.398) sono immagini, ma ci sono anche 20.055 documenti, 13.677 fogli di calcolo e 13.972 documenti di testo. Tra i dati ci sono anche file che contengono informazioni finanziarie, numeri di carte di credito e le immancabili scansioni di passaporti e documenti.

Il bug interesserebbe un software installato su vecchi modelli Iomega, che sfrutta la API incrimanata per la condivisione dei file in rete. Lenovo, dopo la segnalazione (inviata lo scorso autunno) si è impegnata a correggere la falla di sicurezza. Al momento, però, non c’è ancora nessuna traccia della patch.

Il consiglio, per chi possiede un NAS Iomega e teme di essere vittima del bug, è quello di controllare periodicamente la pagina di segnalazione degli aggiornamenti di Lenovo Prima o poi salterà fuori qualcosa.

L’importante è che non vi colleghiate assolutamente al sito iomega.com che compare se si cerca “Iomega” su Google. Ci siamo finiti durante la redazione di questo articolo e abbiamo scoperto che reindirizza a pagine Web letteralmente infestate di truffe, malware e altro codice pericoloso.

A quanto pare, il dominio è stato abbandonato e adesso è registrato da una società con sede alle isole Cayman. Abbiamo comunicato il problema a Lenovo e pubblicheremo eventuali aggiornamenti sulla vicenda.

Condividi l'articolo