Los piratas informáticos explotaron un fallo de día 0, no de 2018, para borrar en masa los dispositivos My Book Live [ING]

Western Digital ha publicado una actualización que dice que la compañía proporcionará servicios de recuperación de datos a partir del próximo mes. Los clientes de My Book Live también serán elegibles para un programa de intercambio para que puedan actualizarse a dispositivos My Cloud. Una portavoz dijo que el servicio de recuperación de datos será gratuito. La compañía también proporcionó nuevos detalles técnicos sobre el día cero, que ahora se rastrea como CVE-2021-35941.

[#1 Desactivado]

Relacionada: "Estoy totalmente jodido". Los usuarios de WD My Book Live se han despertado con todos sus datos borrados [ENG]

"Estoy totalmente jodido". Los usuarios ...

Jajajaja, vulnerabilidad de día 0 provocada por un cambio en el código que comentaba las líneas que comprobaban si el usuario de la sesión está autorizado en el disco duro

[#4 Ishkar]

#1 Me pregunto que clase de testing tenían, aunque supongo que la respuesta es ninguno

[#5 el-brujo]

#1 #EpicFail

[#10 eduardor2k]

#9 En la imagen que puso #5, se hace un "new SystemFactoryRestore()", si utilizaran inyección de dependencias, lo pasarían por el constructor.

A eso sumale:

- los logs sin seguir la PSR-3
- leer php://input desde la función, nada de $request y sobre todo sin sanitizar.

Respecto a lo de PHP, porque no es un lenguaje adecuado para eso ?

[#6 Desactivado]

#1 disculpa.
Yo tengo uno de esos discos duros, que no estaba conectado al ordenador en el momento de la historia.
Lo gasto como disco duro externo para guardar mis archivos.
La pregunta es si lo puedo conectar al ordenador cuando este esta conectado a Internet o lo cualo.

[#8 Desactivado]

#6 Pues ni idea. Dependerá de su firmware. En el manual pondrá algo.

[#2 Desactivado]

¿Tienen un hacker dentro de los desarrolladores?, comentar las líneas de verificación no me parece normal.

[#3 mcfgdbbn3]

#2: Eso, o que son features no documentadas al público general.

[#11 Penetrator]

#2 Tiene pinta de que alguien decidió comentarlas para hacer alguna prueba y luego se olvidó de dejarlo como estaba.

[#7 eduardor2k]

Por el código, tiene pinta de un código un poco mierder... Sin siquiera inyección de dependencias,

[#9 asbostrusbo]

#7 como sabes si tiene o no inyección de dependencias?

En cualquier caso, php no es el mejor lenguaje para eso.