Trustwave发现，西数My Cloud EX2存储设备的默认配置，允许局域网内的所有用户通过HTTP请求检索文件。

西数My Cloud提供一个非常流行的存储/备份设备选项，允许用户轻松备份重要数据(包括文档、照片和媒体文件)并将其存储在可移动媒体上。

 

然而，新驱动器将数据公开给未经验证的本地网络用户，因为该设备在通电时自动启动即插即用(Upnp)媒体服务器。

默认情况下，它允许任何能够向驱动器发送http请求的用户，以便从设备中获取任何文件。因此，所有者或管理员设置的任何权限或限制都完全绕过了，Trustwave的安全研究人员警告说。

“即使在禁用公共共享时，也可以访问存储在存储上的文件。也就是说，任何人都可以在端口9000上向 TMSContentDirectory/Control发送HTTP请求来传递各种操作，例如浏览操作返回带有指向设备上单个文件URL的XML 。

研究人员还发布了一个概念证明，解释攻击者需要将xml包含在http请求中浏览操作中，向端口9000请求TMSContentDirectory/Control资源，这将导致UPnP服务器响应设备上的文件列表。

接下来，攻击者可以使用http请求从设备中获取文件，因为它们已经拥有了通向这些文件的url(从上次步骤中收集到的响应)。

Trustwave表示他们在1月26日就发现了这个漏洞问题，并且也报告给了西部数据公司。不过当时该公司只是建议其用户禁用DLNA。目前 Trustwave针对该漏洞发布了POC， 并建议用户关闭DLNA以保护数据。

(责任编辑：安博涛)