PT-2020-17072
CVE-2020-28970
·
Publicado
2020-12-01
·
Atualizado
2022-04-26
Descrição por
CVSS 3.1
9.8
CríticaMétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Versões do Western Digital My Cloud OS 5 anteriores à 5.06.115
Descrição
Foi identificada uma falha que poderia permitir que um usuário não autenticado executasse comandos com privilégios no dispositivo por meio de um cookie, contornando efetivamente a autenticação de administrador do NAS. Essa falha poderia ser explorada por um administrador autenticado que utilizasse um ponto de extremidade de upload para enviar scripts PHP executáveis.
Recomendações
Para as versões do Western Digital My Cloud OS 5 anteriores à 5.06.115, atualize para a versão 5.06.115 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint de upload e limitar a execução de comandos privilegiados até que um patch seja aplicado.
Explorabilidade
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾