Western Digital’den My Cloud, işletmeler ve bireyler tarafından dosyalarını yedeklemek ve çeşitli bulut ve web ile senkronize etmenin yanı sıra dosyalarını barındırmak için kullanılan en popüler ağa bağlı depolama (NAS) cihazlarından biridir. tabanlı hizmetler. Aynı zamanda en yaygın kullanılan ağa bağlı depolama (NAS) cihazlarından biridir. Yama uygulanmamış My Cloud OS 5 cihazlarında Western Digital, kritik öneme sahip ve saldırganların uzaktan kod yürütme ve ters kabuk elde etmelerine izin vermiş olabilecek bir güvenlik açığını düzeltti. CVE-2022-29841 tanımlayıcısı atanan bu güvenlik açığı, önce okuma verilerini temizlemeden ve ardından ayrıcalıklı bir konumdan dosyaları okumadan bir sistem komutu üreten bir komut tarafından sağlandı.
Uzaktaki tehdit aktörlerinin, güvenlik açığı bulunan aygıt yazılımı sürümlerini çalıştıran My Cloud cihazlarına yönelik saldırılar başlatmak için bu güvenlik açığından yararlanmaları mümkündür.
“Ayrıcalıklı bir konumdan dosyaları okuyan ve okunan verileri temizlemeden bir sistem komutu oluşturan bir komut, zaten düzeltilmiş olan bir uzaktan kod yürütme güvenlik açığının temel nedeniydi. Veri depolama konusunda uzmanlaşmış şirkete göre, “bu talimat, kod yürütülmesine neden olmak ve ters bir kabuk elde etmek için bir saldırgan tarafından uzaktan tetiklenebilir.”
Aşağıdaki ürünler, CVE-2022-29841 danışma belgesine göre duyarlı cihazlar listesine dahil edilmiştir:
My Cloud OS 5’te Western Digital, aşağıdaki üç ek güvenlik açığını yamaladı:
- My Cloud PR2100
- My Cloud PR4100
- My Cloud EX4100
- My Cloud EX2 Ultra
- My Cloud Mirror G2
- Bulutum DL2100
- Bulutum DL4100
- My Cloud EX2100
- Benim Bulutum
- WD Bulut
CVE-2022-29842 istismar edildiğinde bir saldırganın güvenlik açığı bulunan bir CGI dosyasında kök kullanıcı bağlamında kod çalıştırmasına izin verebilecek bir komut enjeksiyon güvenlik açığı için bir düzeltmedir.
CVE-2022-29843 CVSS puanı 6.2 olan DDNS hizmetinin yapılandırmasındaki bir güvenlik açığını gideren bir yamadır. Bu güvenlik açığı, bir saldırganın kök kullanıcı bağlamında kod çalıştırmasına olanak sağlamış olabilir.
CVE-2022-29844 FTP hizmetinde düzeltilen bir bellek bozulması güvenlik açığıdır. Bu güvenlik açığı, bir saldırganın rasgele dosyaları okumasına ve yazmasına izin verebilir. Bu güvenlik açığı için CVSS puanı 6.7’dir. Bu, saldırganın komutları uzaktan yürütmesine izin verecek şekilde NAS’ın tamamen ele geçirilmesine neden olabilir.
Şu anda risk altyapısı uzmanı ve araştırmacı olarak çalışan bilgi güvenliği uzmanı.
Risk ve kontrol süreci, güvenlik denetimi desteği, iş sürekliliği tasarımı ve desteği, çalışma grubu yönetimi ve bilgi güvenliği standartları konularında 15 yıllık deneyim.