Seagate comble d’importantes failles sur certains de ses disques durs Wi-Fi

Seagate et LaCie ont récemment publié des mises à jour pour certains de leurs disques durs Wi-Fi. En cause, plusieurs failles de sécurité, dont une relativement importante, permettant d'accéder aux données.

Tangible Security, une société spécialisée dans la sécurité informatique, a récemment publié un billet de blog, repris par le CERT, afin de dévoiler une importante faille de sécurité qui touche certains disques durs Wi-Fi de Seagate et de LaCie (qui appartient à Seagate). Sont concernés les Seagate Wireless (Plus) Mobile Storage, LaCie Fuel, ainsi que toutes les déclinaisons que l'on pourrait trouver en marque blanche.

Une connexion Telnet et le tour est joué

Via une connexion Telnet qui n'est « pas documentée », des personnes mal intentionnées pourraient accéder à l'intégralité des données du HDD. Pour cela, nul besoin de faire preuve de ruse ou d'utiliser la force brute afin de trouver le mot de passe du compte root : il est directement écrit dans le firmware du disque dur et serait donc identique pour tous les produits d'une même série. Une fois connecté en tant que root, vous avez un libre accès à l'ensemble des fichiers, en lecture, écriture, suppression, etc.

Et ce n'est pas tout puisque l'équipe de chercheurs dévoile deux autres failles au passage, exploitable dans « une configuration par défaut » à condition que l'attaquant se trouve dans la zone de couverture du réseau Wi-Fi du disque dur. La première utilise une technique baptisée Direct Request ou Forced Browsing qui permet de récupérer des fichiers sans y être autorisé, tandis que la seconde permet d'uploader des fichiers dans le répertoire /media/sda2 qui sert au partage, laissant ainsi la possibilité à un document malveillant de circuler de machine en machine. 

De nouveaux firmwares disponibles

Les chercheurs indiquent qu'ils ont contacté Seagate le 18 mars 2015 afin de faire part de leurs découvertes au constructeur, qui leur a ensuite confirmé l'existence des failles le 30 mars. Quatre mois plus tard, le 18 juillet, un correctif était testé avec succès par Tangible Security, tandis que le bulletin d'alerte public du CERT était mis en ligne le 1er septembre.

Seagate propose évidemment des mises à jour pour les disques durs Wi-Fi concernés. Pour savoir si vous faites partie du lot, il faudra vous rendre sur cette page et entrer le numéro de série de votre produit. De son côté, LaCie (qui appartient à Seagate), propose une mise à jour du firwmare de son Fuel depuis le 2 septembre. Dans tous les cas, il est bien évidemment recommandé de les installer, mais en prenant soin de sauvegarder vos données avant, car un problème peut malheureusement vite arriver.