PT-2022-15761

CVE-2022-22991

Publicado

2022-01-13

Atualizado

2022-01-21

Descrição por

CVSS 3.1

8.8

Alta

MétricasAV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Western Digital MyCloud PR4100 (versões afetadas não especificadas)

Descrição

Um usuário mal-intencionado na mesma rede LAN poderia usar falsificação de DNS seguida de um ataque de injeção de comando para induzir um dispositivo NAS a carregar dados por meio de uma chamada HTTP não segura. O problema foi resolvido desativando as verificações de conectividade com a Internet via HTTP.

Recomendações

Para resolver o problema, desative as verificações de conectividade com a Internet usando HTTP.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-78: Improper Neutralization of Special Elements used in an OS Command (\'OS Command Injection\')

CWE-77: Improper Neutralization of Special Elements used in a Command (\'Command Injection\')

Identificadores relacionados

CVE-2022-22991