CVE-2022-29842

Command Injection w Western Digital My Cloud OS 5 — zdalne wykonanie kodu jako root

CVSS 9.8v3.1pub. 2023-05-10upd. 2024-11-21

Podatność typu command injection w urządzeniach Western Digital My Cloud OS 5 umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie poleceń systemowych z uprawnieniami użytkownika root. Ze względu na brak wymagań co do uwierzytelnienia i interakcji użytkownika, podatność stanowi poważne zagrożenie dla bezpieczeństwa urządzeń NAS.

▸ Pokaż oryginał (EN)

Improper Neutralization of Special Elements used in a Command ('Command Injection') vulnerability that could allow an attacker to execute code in the context of the root user on a vulnerable CGI file was discovered in Western Digital My Cloud OS 5 devicesThis issue affects My Cloud OS 5: before 5.26.119.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej neutralizacji znaków specjalnych w podatnym pliku CGI obsługiwanym przez urządzenie. Atakujący może przesłać spreparowane żądanie sieciowe zawierające złośliwe polecenia systemowe, które nie są odpowiednio filtrowane ani eskejpowane przed przekazaniem do powłoki systemowej. W efekcie polecenia są wykonywane bezpośrednio w kontekście użytkownika root, co daje atakującemu pełną kontrolę nad urządzeniem.

Skutki

Atakujący może uzyskać pełną kontrolę nad urządzeniem z najwyższymi uprawnieniami (root), co umożliwia odczyt, modyfikację lub usunięcie przechowywanych danych, instalację złośliwego oprogramowania oraz wykorzystanie urządzenia jako punktu wejścia do sieci wewnętrznej.

Mitygacja

Należy zaktualizować firmware urządzeń My Cloud OS 5 do wersji 5.26.119 lub nowszej. Szczegółowe instrukcje aktualizacji dostępne są w biuletynie bezpieczeństwa producenta: https://www.westerndigital.com/support/product-security/wdc-23002-my-cloud-firmware-version-5-26-119

Kogo dotyczy

Western Digital My Cloud OS 5 w wersjach wcześniejszych niż 5.26.119, na urządzeniach: My Cloud, My Cloud DL2100, My Cloud DL4100, My Cloud EX2 Ultra.