Western Digital annonce la disponibilité d'un nouveau firmware pour les NAS My Cloud Home et My Cloud Home Duo. D'après le changelog de cette version 9.7.0-104 datée du 09/12/2024, pas moins de trois failles de sécurité ont été corrigées par cette mise à jour.

La première vulnérabilité est la CVE-2023-4154 qui affecte plus particulièrement le service de partage de fichiers Samba (aussi connu sous le nom SMB dans l'environnement Windows) et sa fonctionnalité DirSync. Elle permet à un assaillant qui possède des permissions sur un contrôleur de domaine Active Directory ou autre RODC de récupérer le mot de passe d'autres utilisateurs. Le composant Samba a été mis à jour en version 4.17.12 dans les My Cloud Home pour combler cette faille qui est considérée comme présentant un risque modéré avec un score CVSS de 6,5 dans la base de données National Vulnerability Database (NVD) du gouvernement américain.

Les deux autres failles de sécurité affectant les NAS My Cloud Home concernent le programme cURL qui sert à transférer des données sur le réseau via une URL et différents protocoles tels que HTTP, FTP, SCP... Il s'agit tout d'abord de la vulnérabilité CVE-2023-38545 qui peut provoquer un dépassement de mémoire tampon lors de la résolution du nom d'hôte ce qui n'est pas à prendre à la légère puisque cette faille a un score CVSS de 9,8 dans la NVD ce qui la classe dans les failles de sécurité critiques ! La seconde faille à affecter cURL, numérotée CVE-2023-38546, est beaucoup moins dangereuse avec un score CVSS de seulement 3,7 même si elle permet d'insérer des cookies dans un programme qui utilise libcurl. Pour ces deux problèmes, cURL a été mis à jour en version 7.74.0.

C'est une bonne nouvelle pour les utilisateurs d'un NAS My Cloud Home que ces failles de sécurité aient été corrigées. On peut toutefois se demander pourquoi il a fallu aussi longtemps à Western Digital pour intégrer les correctifs car ce sont tout de même des failles qui ont été dévoilées publiquement en fin d'année 2023.

Actualité publiée par Julien Sambourg le mercredi 11 décembre 2024 à 12:20
Commenter cette actualité
Marque associée : Western Digital
Catégorie associée : Network Attached Storage (NAS)
Flux RSS des actualités TousLesDrivers.com