安全研究人员在西部数据公司（WesternDigital）的MyCloudNAS设备中发现了几个严重的漏洞和一个采用硬编码的后门程序，这些漏洞可能允许远程攻击者无限制地访问设备。
西部数据的MyCloud（WDMyCloud）系列NAS设备是最受欢迎的网络连接存储设备之一，个人和企业正在使用它来托管他们的文件，并自动备份和同步他们的各种云和基于Web的服务。
该设备不仅可以让用户共享家庭网络中的文件，而且私有云功能还允许用户随时随地访问他们的数据。
由于这些设备被设计为通过互联网连接，所以硬编码后门将使用户数据对黑客开放。
GulfTech研究和开发团队最近发布了一份建议，详细介绍了WDMyCloud存储设备中的硬编码后门和一些漏洞，这些漏洞可能允许远程攻击者注入他们自己的命令，并未经许可的情况下上传和下载敏感文件。
值得注意的是，来自GulfTech公司的研究人员JamesBercegay在去年6月就已经联系了这家供应商并报告了这些问题。供应商也确认了这些漏洞，并表示会在90天内完成修复。
但直到今年1月3日（即将近天），直到GulfTech公开披露了漏洞的细节时，这些漏洞依然没有得到修复。
无限制的文件上传漏洞
顾名思义，这个漏洞允许远程攻击者上传一个任意文件到使用易受攻击的存储设备的联网服务器上。
由于西部数据错误地实现了gethostbyaddr（）PHP函数，该漏洞驻留“multi_uploadify.php”脚本中。
这个漏洞也能够被很容易地被利用来以root身份获得远程shell。为此，攻击者所要做的就是发送一个包含要上传的文件的请求，使用参数Filedata[0]（在“folder”参数中指定要上载的文件的位置以及假冒的主机标题名）。
研究人员还编写了一个Metasploit模块来利用这个漏洞。
“[metasploit]模块将使用此漏洞将PHPwebshell上传到‘/var/