Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es
27/06/2013
Porta posterior descoberta en servidors de còpia de seguretat de HP
Segons l’investigador de seguretat Technion, l’única cosa que es requerix per a comprometre remotament els sistemes de suport d'HP, StoreOnce, és tindre accés per mitjà de Secure Shell (SSH). N’hi ha prou d'ingressar el nom d’usuari "HPSupport" (sense cometes) i una contrasenya prèviament establida per a obtindre accés a una pàgina d’administrador no documentada.
Els sistemes StoreOnce no són productes barats: la versió de 12 discos d’1 terabyte cada un (amb una capacitat únicament de 6 terabytes) té un cost superior als 12 mil euros. El valor agregat del sistema, comparat amb un servidor normal d’estes capacitats, el brinda el programari StoreOnce Catalyst, inclòs amb el servidor. D’acord amb HP, la funcionalitat de duplicació de dades del programari permet reduir la grandària dels suports de dades fins un 95%.
La vulnerabilitat va ser publicada en el blog de l’investigador, on menciona que HP ha deixat passar tres setmanes sense fer-li cas i sense posar solució a la vulnerabilitat. També explica que, atés que HP va ser la companyia responsable de crear la Iniciativa de Dia Zero (ZDI per les seues sigles en anglés), la seua actitud és inacceptable. Cal mencionar que esta iniciativa brinda als fabricants fins a 60 dies per a resoldre les seues vulnerabilitats.
La publicació es va tornar un poc agressiva a causa de la decisió de Technion de publicar l’hash SHA1 de la contrasenya per a poder accedir al compte amagat d’administrador. Seria suficient a realitzar un atac de força bruta per a obtindre la contrasenya d’administrador, per la qual cosa no tardarà molt a circular la contrasenya en clar per uns quants fòrums d’Internet. La contrasenya és de set caràcters de llarg i es basa en una imatge de burla que circula per la xarxa, un dels comunament denominats memes.
Technion considera que la vulnerabilitat de StoreOnce no té excuses, especialment per que HP també va rebre reports de vulnerabilitats de seguretat semblants al desembre de 2010, quan es va revelar que hi havia un compte de servici amagat en la solució d’emmagatzematge en xarxa, StorageWorks P2000 G3. En eixa fallada, era possible canviar la contrasenya, acció que en la vulnerabilitat de StoreOnce encara no se sap.