富士通云存储系统的Web界面中的两个缺陷可能允许未经身份验证的攻击者读取、写入和破坏备份文件。企业级Fujitsu Eternus CS8000（控制中心）V8.1中存在安全漏洞。NCC Group的研究人员发现了两个独立的问题，原因是两个 PHP 脚本中缺少用户输入验证，这两个脚本通常包含在身份验证后。这两个漏洞，在grel.php中的命令注入和在hw_view.php中的命令注入，都可能允许攻击者在没有事先身份验证或授权的情况下在设备上获得远程代码执行。

由于没有适当的包含防护，攻击者可以通过直接调用脚本来触发脚本而无需事先进行身份验证。

这将使他们能够控制设备，就好像他们直接通过安全外壳登录一样。

“如果被利用，攻击者会以‘www-data’用户的身份在机器上获得有限的用户权限；但是，应该注意的是，NCC Group的 Fox-IT遇到的系统内核已经严重过时，攻击者可以轻松地将其权限提升到系统的管理“root”用户，” NCC Group的一篇博客文章写道。

“由于系统的敏感性，任何对系统具有完全控制权的攻击者都可能读取、修改并可能破坏整个虚拟备份磁带，这可能被用作勒索软件攻击的初始阶段，以确保受害者无法康复，被迫支付赎金。”

这些问题是在NCC Group代表客户进行的渗透测试中发现的。然后将它们报告给富士通，后者已经修补了这些错误(PDF)。

富士通表示，它“不知道”任何有效的漏洞利用代码，也没有看到任何成功利用这些漏洞的尝试。

NCC Group建议用户立即升级到最新版本的软件。它还列出了其他建议以减轻博客文章中的错误。