Se han detectado múltiples vulnerabilidades en My Cloud OS 5, el sistema operativo de las soluciones de almacenamiento basado en la red (NAS) desarrolladas por Western Digital. Según el reporte, la explotación exitosa de estas fallas llevaría al compromiso de los sistemas afectados.
A continuación se presentan breves descripciones de las fallas reportadas, además de sus claves de identificación y puntajes asignados según el Common Vulnerability Scoring System (CVSS).
CVE-2022-22993: La validación insuficiente de las entradas proporcionadas por el usuario dentro del endpoint cgi_api permitiría a los usuarios remotos enviar solicitudes HTTP especialmente diseñada y engañar a la aplicación para que inicie solicitudes a sistemas arbitrarios.
La falla recibió un puntaje CVSS de 3.6/10.
CVE-2022-22994: La falta de autenticación adecuada de los datos recibidos a través de HTTP dentro del servicio ConnectivityService permitiría a los actores de amenazas pasar datos especialmente diseñados a la aplicación y ejecutar código arbitrario en el sistema afectado.
Esta es una falla de severidad media y recibió un puntaje CVSS de 7.7/10.
CVE-2022-22991: La validación de entrada incorrecta dentro del servicio ConnectivityService permitiría a los hackers remotos en la red local pasar datos especialmente diseñados a la aplicación y ejecutar comandos arbitrarios.
La falla recibió un puntaje CVSS de 7.7/10.
CVE-2022-22989: Un error de límite dentro del servicio FTP permitiría a los actores de amenazas en la red local desencadenar un desbordamiento de búfer basado en pila y ejecutar código arbitrario en el sistema afectado.
Esta es una vulnerabilidad de severidad media y recibió un puntaje CVSS de 7.7/10.
CVE-2022-22992: La validación de entrada incorrecta permitiría a los actores de amenazas pasar datos especialmente diseñados a la aplicación y ejecutar comandos arbitrarios en el sistema vulnerable.
Esta es una falla de alta severidad y recibió un puntaje CVSS de 8.5/10.
CVE-2022-22990: Una lógica de coincidencia de cadenas incorrecta al acceder a páginas protegidas dentro del servicio nasAdmin permitiría a los atacantes remotos en la red local puede evadir el proceso de autenticación y obtener acceso no autorizado a la aplicación vulnerable.
La falla recibió un puntaje CVSS de 5.5/10.
Según el reporte, la falla reside en las siguientes implementaciones:
- My Cloud PR2100: Todas las versiones
- My Cloud PR4100: Todas las versiones
- My Cloud EX4100: Todas las versiones
- My Cloud EX2 Ultra: Todas las versiones
- My Cloud Mirror Gen 2: todas las versiones
- My Cloud DL2100: todas las versiones
- My Cloud DL4100: Todas las versiones
- My Cloud EX2100: Todas las versiones
- WD My Cloud: Todas las versiones
- Mi Nube: Todas las versiones
- My Cloud OS 5: versiones anteriores a 5.19.117
Si bien estas fallas pueden ser explotadas por actores de amenazas remotos no autenticados, hasta el momento no se han detectado intentos de explotación activa. Aún así, Western Digital recomienda a los usuarios de implementaciones afectadas actualizar a la brevedad.
Para conocer más sobre riesgos de seguridad informática, malware, vulnerabilidades y tecnologías de la información, no dude en ingresar al sitio web del Instituto Internacional de Seguridad Cibernética (IICS).
Trabajando como arquitecto de soluciones de ciberseguridad, Alisa se enfoca en la protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad dentro de una variedad de empresas de seguridad cibernética. También tiene experiencia en diferentes industrias como finanzas, salud médica y reconocimiento facial.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
