聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

多家大型厂商的存储设备受第三方加密软件中的多个缺陷影响。

本月初，西部数据更新 SanDisk SecureAccess 产品，修复可导致通过暴力攻击和字典攻击访问用户数据的多个漏洞。

SanDisk SecureAccess 最近被重命名为 SanDisk PrivateAccess。该软件允许用户加密存储在 SanDisk USB 闪盘驱动上受保护库中的文件和文件夹。

安全研究员 Sylvain Pelissier 发现，该 DataVault 用于多家厂商如西部数据（拥有SanDisk 所有权）、索尼和雷克沙，他所发现的漏洞影响这些公司的产品。Pelissier 通过逆向工程和多种技术和工具找到了可导致暴力攻击的多个弱点，它们是 CVE-2021-36750和CVE-2021-36751。

Pelissier 指出，“事实证明，最关键的派生函数是使用 MD5 的1000次迭代派生加密密钥的 PBKDF2。用于派生这些密钥的盐是常数且在所有的解决方案和厂商中被硬编码。这就使得攻击者更容易通过时间/内存取舍攻击技术（如彩虹表）猜测密码库的用户密码并复用这些表检索所有软件用户的密码。实现本身是不正确的，甚至是随机生成的唯一盐，恢复用户密码毫无费力。”

Pelissier 和 Boi Sletterink 一起在rC3 大会上发布了研究成果，后者帮助ENC 公司解决了这些漏洞。

ENC 在安全公告中指出，“DataVault 及其派生使用具有可预测盐的单向加密哈希，使其易受恶意用户的字典攻击。该软件还是用计算不充分的密码哈希，可使攻击者暴力攻击用户密码，导致用户数据遭越权访问。”

ENC 公司在今年5月份收到关于这些缺陷的通知并在12月发布 DataVault 7.2 修复了这些漏洞。索尼和西部数据之后不久发布了安全公告。研究人员表示，尚未收到雷克沙公司的响应。

推荐阅读

在线阅读版：《2021中国软件供应链安全分析报告》全文

第三方攻击在增长但风险管理跟不上

第三方组件曝多个严重漏洞，飞利浦 Vue PACS 医学成像系统受影响

第三方依赖关系的风险：利用数十个易受攻击的 NuGet包瞄准 .NET 平台

美国国会合同承包商遭勒索攻击，第三方软件安全亟需保障

微软反向 RDP 漏洞补丁不当，第三方 RDP 客户端易受攻击

老旧漏洞不修复，西部数据存储设备数据遭擦除

一年半之后，西部数据 My Cloud NAS 设备验证绕过漏洞仍未修复

Apache Log4j任意代码执行漏洞安全风险通告第三次更新

Apache 紧急修复已遭利用且补丁不完整的 HTTP Server 0day

Apache Struts 和 Spring 开源漏洞状况的对比

Apache OpenOffice 漏洞使数千万用户易受代码执行攻击

原文链接

https://www.securityweek.com/storage-devices-major-vendors-impacted-encryption-software-flaws

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

 觉得不错，就点个 “在看” 或 "赞” 吧~