飞牛 OS 疑似 0day 漏洞，许多用户设备遭到攻击，请尽快检查设备或暂停使用

1 月 31 日
 izToDo
起因：
在近期使用飞牛时，发现会时不时的出现设备卡死、网络报错的情况，因为每天我都会通过飞牛去跑数据同步，所以没有关心这个问题，只以为是数据太多导致 FNOS 出现的什么莫名奇妙 Bug 。

直到本周周五，我又出现了这个问题，于是就想去查询一下是什么起因。
没想到，不查不知道，一查吓一跳，社区中许多人都出现了设备连接数异常、导致断网或无法连接飞牛服务器的情况。

再一搜索，这居然是一个很普遍的问题！社区中有人已经分析出这是一个专门针对 FNOS 的恶意程序，即便我已经开启了 SSL 、2FA ，且密码为非弱密码的情况下，这个恶意程序仍然植入到了我的设备。

根据一些大佬分析，飞牛疑似存在的 0day （路径穿越漏洞）可以在未授权的情况下可以访问整个 NAS 全部文件，包括系统的配置文件，这可能也是导致如上安全措施归零的主因之一。

这种 T0 级别的重大问题居然被官方一句 “别走 http 明文方式访问设备” 一笔带过，没有任何安全预警。像我一样的普通用户如果不是注意到近期的设备异常，甚至根本不知道有这么一回事。



这么大的一个技术团队，在出现这么大的安全事件后没有任何官方公告是什么用意？能不能有一个正面的态度？？？


附一些官方社群的分析：
https://club.fnnas.com/forum.php?mod=viewthread&tid=53230
https://club.fnnas.com/forum.php?mod=viewthread&tid=52580
18618 次点击
所在节点    信息安全
120 条回复
et5494
1 月 31 日
poc 满天飞
我就随机找了几个幸运观众，穿越 bug 直接就进去了
spike0100
1 月 31 日
国内 nas 都这样。重大漏洞能捂就捂，从来没见过哪家主动发漏洞声明的。
PaulSamuelson
1 月 31 日
nas 厂商觉得：你自己用，有内网保护，挂线上有 vpn 保护。所以，这个漏洞也就不那么重要了。
什么，你挂公网，通过密码来区别是不是本人？该你着，🤣
unusualcat
1 月 31 日
这种尿性和处理方式不稀奇
adov
1 月 31 日
这官方也太变态了吧，修了也不和用户说，要知道国内环境部分人可是打死都不更新系统的，甚至买个耳机还要反过来降级，这么大的 bug 不说。
doraemonki
1 月 31 日
@Gilfoyle26 没有在制度上做出鼓励，那么员工一点不会去做这些破事的，归根结底人是不会做对自己没有好处甚至损坏自己利益的事情的。员工主动提出或解决问题，公司制度有确保员工不会被迫增加工作时间吗，员工肯定是默认选择对自己更轻松收益更高的选项，规则本来就奖励多一事不如少一事的人
f360967847
1 月 31 日
@MiKing233 里面点进去 还能进去吗?我测试只能看到这个跟目录 里面的文件是会报 404 的
Ryanxxx
1 月 31 日
@f360967847 出现根目录后自己把路径拼到 url 里，不要从页面点击
Ryanxxx
1 月 31 日
@PaulSamuelson 自带远程访问服务 FN Connect ，只能说全部 G
yuPD97Yeed4QM245
1 月 31 日
我想问下之前直接把 100GB 左右的照片储存在飞牛 OS 里的人，信息泄露了吗
yolyzhu
1 月 31 日
这玩意能不出漏洞才稀奇吧……
cnevil
1 月 31 日
跟 MITM 有啥关系，没听说过中间人还能 RCE 的 这说法这不是忽悠傻子吗。。
Chengnan049
1 月 31 日
@MiKing233 UNAS 有啥优点么？我看性价比几乎没有，目前手里有台 UDR
sdzbzyc
1 月 31 日
用服务器装的飞牛，两台都被搞了，幸好都没放设么数据，但现在官方就轻描淡写的说是 HTTPS 的问题..
abc8678
1 月 31 日
大概是七天前，我也遇到，飞牛突然无法开进系统，然后出现平时没见过的滚屏报错。但是网上看不到声音，然后顺便才想重装系统的。我的上一篇帖子就是在这个背景下遇到的，重装系统卡在硬盘引导 不会弄，才发帖提问。现在也没解决，带着焦虑就不敢开机了
Chengnan049
1 月 31 日
@oppose2336 这个类似 WinMerge 的工具叫啥？佬
curtinp
1 月 31 日
@izToDo 飞牛社区 社群 一声不吭 对用户数据一点不负责 果然还是免费的就是最贵的
Untu
1 月 31 日
该用 VPN 的时候不用，喜欢映射，之前被一些小鬼杠了就知道他们肯定要翻车
NowTime
1 月 31 日
随便搜了一下，很早就有人报告这个问题，但没有引起重视：
* https://club.fnnas.com/forum.php?mod=viewthread&tid=35994
Ryanxxx
1 月 31 日
@stinkytofux 我在 FN Connect 随便输入了一个 上面还真的有片（偷拍的那种 照片 视频

这是一个专为移动设备优化的页面（即为了让你能够在 Google 搜索结果里秒开这个页面），如果你希望参与 V2EX 社区的讨论，你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://v2ex.ih06.com/t/1189672

V2EX 是创意工作者们的社区，是一个分享自己正在做的有趣事物、交流想法，可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX