طبق يك مقاله منتشر شده در تاريخ 9 جولاي، شركت HP اذعان كرده است كه يك Vulnerability مي تواند به صورت remote در سيستم هاي ذخيره سازي StoreVirtual فعال شده و اجازه دسترسي به كاربران شناخته نشده را بدهد. اين شركت همچنين اعلام كرد كه اين محصولات به مكانيسمي مجهز مي باشند كه به تيم پشتيباني HP امكان دسترسي به سيستم عامل موجود در اين محصولات را مي دهد. به عبارت ديگر، يك Backdoor در اين محصولات وجود دارد، كه HP به آن دسترسي دارد و هكرها نيز احتمالاً از طريق آن مي توانند وارد سيستم شوند.
محصولات ذخيره سازي StoreVirtual ، تجهيزاتي هستند با سيستم عامل خاصي به نام LeftHand OS كه اين سيستم عامل براي كاربران نهايي قابل دسترس نمي باشد. HP اظهار داشته است كه امكان دسترسي از طريق HP StoreVirtual Command-Line Interface (CLiQ) براي مشتريان فراهم شده است، ولي دسترسي به root اين سيستم عامل همچنان مسدود مي باشد. به هر حال تا قبل از انتشار اين مقاله، backdoor مربوط به اين محصولات HP مستند نشده بود، و به تازگي توسط يك وبلاگ نويس كه قبلاً نيز backdoor ديگري در محصولات StoreOnce شركت HP كشف كرده بود، منتشر شده است.
بنابر گزارش نويسنده، محصولات StoreVirtual به دليل وجود كليد hard-reset براي برگرداندن تنظيمات اوليه كارخانه استفاده مي شدند، ولي اين ويژگي نيز حذف شده است تا هكرها نتوانند به راحتي و با Reset كردن محصول، با دسترسي Admin وارد سيستم شوند. به هر حال راه حل جديد نيز با توجه به اين كه هم اكنون بازيابي كلمه عبور Administrator به صورت Remote توسط شركت HP و يا هكرها امكان پذير مي باشد، بي فايده است.
يك روش ورود به محصولات StoreVirtual ، كاربر مخفي Administrator شركت HP با دسترسي كامل به سيستم ها و نرم افزار StoreVirtual مي باشد. روش ديگر، كپي مجزايي از LeftHand OS مي باشد كه نه تنها روي محصولات StoreVirtual شركت HP، بلكه روي محصولات HP P4000 نيز به كار رفته است. يعني يك حساب كاربري HP با دسترسي Root در LeftHand 9.0 و نسخه هاي بالاتر آن جاسازي شده است، و در Platform آن از سال 2009 به بعد موجود مي باشد – هم اكنون نسخه Platform آن 10.5 است.
نويسنده مي گويد: "برخي كاربران HP از طريق ايميل وجود Backdoor ها را تأييد، و شواهدي از حساب هاي كاربري و رمزهاي عبور كه امكان دسترسي به تجهيزات را مي دهند نيز فراهم كرده اند. مي توان حساب هاي كاربري كه به دليل عدم استفاده از اعداد، علامت ها و يا حروف بزرگ، داراي شرايط لازم بسياري از سايت ها نمي باشند، را گزارش كرد."
شركت اعلام كرده است اين حساب كاربري "سري"، با داشتن دسترسي روي Root سيستم، امكان دسترسي به اطلاعات ذخيره شده در دستگاه هاي HP را نه براي هكرها و نه براي تيم پشتيباني فراهم نمي كند. اما كاربري با داشتن نزديك به 50 TB فضاي ذخيره سازي StoreVirtual اظهار داشته است، اين حساب كاربري دسترسي و كنترل كافي بر روي سخت افزار يك Cluster ذخيره سازي را فراهم مي كند كه با reboot كردن node هاي مشخص و تكرار اين عمل، مي تواند باعث از كار افتادن اين Cluster شود.
يكي از كاربران در ايميلي گفته است: "اين امكان براي شما فراهم ميشود كه به قسمت SMH>>Security>> Trusted Management Servers رفته و از آن براي وارد كردن يك Certificate براي معرفي System insight manager ديگري استفاده كنيد." ( Certificate ها براي ايجاد يك ارتباط امن ميان System insight manager يا Insight manager 7 با system management homepage استفاده مي شوند.)
به هر حال HP به كاربران خود اطمينان مي دهد كه رمزهاي عبور Admin توسط اين شركت قابل تغيير مي باشند. مشتريان بايد با واحد پشتيباني تماس بگيرند و آنها مي توانند وارد سيستم شده و رمز عبور را تغيير دهند. در ضمن، با استفاده از Patchي كه HP در تاريخ 9 جولاي اعلام كرده است، مشتريان قادر خواهند بود از تاريخ 17 جولاي يا زودتر، مكانيسم دسترسي پشتيباني را براي LeftHand OS نسخه 10.5 و قبل از آن غير فعال كنند.
شركت مي گويد: "ممكن است در برخي موارد براي حل مشكلات پيچيده مشتريان، پشتيباني HP درخواست دسترسي به Root سيستم را داشته باشد. براي تسهيل اين موارد، ابزاري براي ايجاد يك رمز عبور پيچيده و يك بار مصرف توسط پشتيباني HP استفاده مي شود تا در صورت اجازه مشتري و امكان ارتباط از طريق شبكه، دسترسي به Root سيستم امكان پذير باشد. ابزار ايجاد رمز عبور يك بار مصرف، از دسترسي به root سيستم حفاظت كرده و از ورود به سيستم با رمز عبور مشابه جلوگيري مي كند. دسترسي به Root سيستم عامل LeftHand OS ، امكان دسترسي به اطلاعات ذخيره شده كاربران بر روي سيستم را فراهم نمي كند."
همچنين HP اعلام كرده است كه اين شركت بدون اجازه و فراهم شدن دسترسي از طريق مشتريان، به سيستم عامل موجود در اين محصولات دسترسي نخواهد داشت.
منبع: www.tomsitpro.com/articles/backdoor-lefthand-storevirtual-it-security-hp-p4000,1-1135.html
