西部數據（WD）的 My Cloud EX2 存儲設備默認配置泄露文件信息

安全公司 Trustwave 的研究人員發現 ，西部數據（Western Digital：簡稱 WD）的 My Cloud EX2 存儲設備默認情況下會在本地網絡上泄漏文件，無論用戶設置的權限如何。并且如果用戶配置設備進行遠程訪問并使其聯機，則情況會變得更糟。因為在這種情況下，My Cloud EX2 存儲設備也會通過端口 9000 上的 HTTP 請求泄漏文件。

根據 Trustwave 發布的安全公告，My Cloud EX2 驅動器的默認配置允許任何未經身份驗證的本地網絡用戶使用 HTTP 請求從設備獲取任何文件。即使公共共享被禁用，也可以訪問存儲上的文件。也就是說，任何人都可以在端口 9000 上向 TMSContentDirectory / Control 發送 HTTP 請求來傳遞各種操作，例如瀏覽操作返回帶有指向設備上單個文件 URL 的 XML 。

Trustwave 研究人員表示，泄露是由于設備的 UPnP 媒體服務器在設備開機時自動啟動。在默認情況下，未經身份驗證的用戶可以完全繞過所有者或管理員設置的任何權限或限制，從設備上獲取任何文件。

Trustwave 表示他們在 1 月 26 日就發現了這個漏洞問題，并且也報告給了西部數據公司。不過當時該公司只是建議其用戶禁用 DLNA。目前 Trustwave 針對該漏洞發布了 POC， 并建議用戶關閉 DLNA 以保護數據。