Trustwave发现，西数My Cloud EX2 存储设备的默认配置，允许局域网内的所有用户通过HTTP请求检索文件。

西数 My Cloud 提供一个非常流行的存储/备份设备选项，允许用户轻松备份重要数据(包括文档、照片和媒体文件)并将其存储在可移动媒体上。

然而，新驱动器将数据公开给未经验证的本地网络用户，因为该设备在通电时自动启动即插即用(Upnp)媒体服务器。

默认情况下，它允许任何能够向驱动器发送http请求的用户，以便从设备中获取任何文件。因此，所有者或管理员设置的任何权限或限制都完全绕过了，Trustwave的安全研究人员警告说。

“即使在禁用公共共享时，也可以访问存储在存储上的文件。也就是说，任何人都可以在端口 9000 上向 TMSContentDirectory / Control 发送 HTTP 请求来传递各种操作，例如浏览操作返回带有指向设备上单个文件 URL 的 XML 。

研究人员还发布了一个概念证明，解释攻击者需要将xml包含在http请求中浏览操作中，向端口9000请求TMSContentDirectory/Control 资源，这将导致UPnP 服务器响应设备上的文件列表。

接下来，攻击者可以使用http请求从设备中获取文件，因为它们已经拥有了通向这些文件的url(从上次步骤中收集到的响应)。

Trustwave 表示他们在 1 月 26 日就发现了这个漏洞问题，并且也报告给了西部数据公司。不过当时该公司只是建议其用户禁用 DLNA。目前 Trustwave 针对该漏洞发布了 POC， 并建议用户关闭 DLNA 以保护数据。

*参考来源：securityweek，由Andy编译，转载请注明来自FreeBuf.COM