CVE-2022-22994highCWE-345

CVE-2022-22994: fallo de gravedad alta en Western Digital My Cloud

Insufficient Verification of Data Authenticity Remote Code Execution Vulnerability on Western Digital My Cloud devices.

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear My Cloud

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 8.8epss 1.9%
En resumen

Los dispositivos Western Digital My Cloud pueden ser engañados para ejecutar código malicioso porque no verifican correctamente el origen de los comandos. Un atacante puede enviar comandos falsos por internet para controlar el dispositivo.

Detalle técnico

La vulnerabilidad consiste en verificación insuficiente de la autenticidad de los datos en mecanismos de actualización o comunicación en dispositivos My Cloud, permitiendo inyección de código malicioso a través de llamadas HTTP desprotegidas. Pre-condición: el dispositivo debe ser accesible a través de la red o internet. La corrección implicó deshabilitar verificaciones no autenticadas de conectividad HTTP.

Resumen generado y traducido por IA a partir de la descripción oficial.
A remote code execution vulnerability was discovered on Western Digital My Cloud devices where an attacker could trick a NAS device into loading through an unsecured HTTP call. This was a result insufficient verification of calls to the device. The vulnerability was addressed by disabling checks for internet connectivity using HTTP.
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Western Digital · My Cloud
CVEs relacionadas — Western Digital My Cloud

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-29844MEDIUMWestern Digital My Cloud OS 5 arbitrary file read and write vulnerability via ftpEPSS 36.4%CVE-2022-22995CRITICALWestern Digital My Cloud OS 5 and My Cloud Home Unauthenticated Arbitrary File Write Vulnerability in NetatalkEPSS 2.7%CVE-2022-22990HIGHLimited authentication bypass vulnerability on Western Digital My Cloud devicesEPSS 2.2%CVE-2022-22989CRITICALPre-authenticated stack overflow vulnerability on FTP ServiceEPSS 1.4%CVE-2022-22991HIGHCommand injection through unsecured HTTP calls on Western Digital My Cloud devicesEPSS 1.3%CVE-2022-29843MEDIUMWestern Digital My Cloud OS 5 devices Command Injection VulnerabilityEPSS 1.2%