CVE-2022-22994highCWE-345

CVE-2022-22994: falha de alta gravidade em Western Digital My Cloud

Insufficient Verification of Data Authenticity Remote Code Execution Vulnerability on Western Digital My Cloud devices.

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar My Cloud

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 8.8epss 1.9%
Em resumo

Dispositivos Western Digital My Cloud podem ser enganados para executar código malicioso porque não verificam corretamente a origem dos comandos. Um atacante pode enviar comandos falsos pela internet para controlar o dispositivo.

Detalhe técnico

A vulnerabilidade consiste em verificação insuficiente da autenticidade dos dados nos mecanismos de atualização ou comunicação em dispositivos My Cloud, permitindo injeção de código malicioso através de chamadas HTTP desprotegidas. Pré-condição: o dispositivo deve estar acessível pela rede ou internet. A correção envolveu desabilitar verificações não autenticadas de conectividade HTTP.

Resumo gerado e traduzido por IA a partir da descrição oficial.
A remote code execution vulnerability was discovered on Western Digital My Cloud devices where an attacker could trick a NAS device into loading through an unsecured HTTP call. This was a result insufficient verification of calls to the device. The vulnerability was addressed by disabling checks for internet connectivity using HTTP.
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
Western Digital · My Cloud
CVEs relacionadas — Western Digital My Cloud

No mesmo produto, das mais perigosas para as menos.

CVE-2022-29844MEDIUMWestern Digital My Cloud OS 5 arbitrary file read and write vulnerability via ftpEPSS 36.4%CVE-2022-22995CRITICALWestern Digital My Cloud OS 5 and My Cloud Home Unauthenticated Arbitrary File Write Vulnerability in NetatalkEPSS 2.7%CVE-2022-22990HIGHLimited authentication bypass vulnerability on Western Digital My Cloud devicesEPSS 2.2%CVE-2022-22989CRITICALPre-authenticated stack overflow vulnerability on FTP ServiceEPSS 1.4%CVE-2022-22991HIGHCommand injection through unsecured HTTP calls on Western Digital My Cloud devicesEPSS 1.3%CVE-2022-29843MEDIUMWestern Digital My Cloud OS 5 devices Command Injection VulnerabilityEPSS 1.2%