CVE-2023-22814· NVD / CVE Programı· CNA WDC PSIRT

Authentication Bypass issue in My Cloud OS 5 devices

Noroxi değerlendirmesi

Öncelik: İzleyin (aksiyon skoru 39/100)

İzlediğimiz kaynaklarda (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) herkese açık istismar kodu ya da sahada sömürü kaydı yok.
Önümüzdeki 30 günde sömürülme olasılığı %0,68 (FIRST EPSS); kayıtların %51,3 kadarından yüksek.
İnternetten erişebilen herkes tetikleyebilir. Hesap ya da parola gerekmez. Kullanıcının bir şey yapması gerekmez. Özel bir koşul gerekmez; tekrarlanabilir.
CISA'ya göre saldırı otomatikleştirilebilir: toplu taramalarla hedef bulunabilir.
Kayda göre henüz düzeltme sürümü yok.
Ulusal siber güvenlik bildirimlerinde (siberguvenlik.gov.tr) 1 kez anıldı.

Şimdilik düşük öncelik. Düzeltme yayımlandığında güncelleyin; üreticinin duyurusunu izleyin.

Kaydın verisinden otomatik üretilir: CVSS (NVD ve CNA), CISA KEV ve SSVC, FIRST EPSS, istismar kaynakları, düzeltme sürümleri. Nasıl hesaplıyoruz

An authentication bypass issue via spoofing was discovered in the token-based authentication mechanism that could allow an attacker to carry out an impersonation attack. This issue affects My Cloud OS 5 devices: before 5.26.202.

KritikCVSS 9.8 · v3.1—İstismar yok Düzeltme kaydı yok

Yayın: 30 Haz 2023
Güncelleme: 17 Haz 2026
EPSS: %0,7 · 51. yüzdelik
CWE: CWE-290

Rapor araçları

JSON

Aksiyon skoru

İzleyin

Şimdilik düşük öncelik.

CVSS: 39 / 40 · 9.8 / 10
CISA KEV: 0 / 30 · Listede değil
EPSS: 0 / 30 · %0,7

CISA SSVC kararı

Sömürü: yok
Otomatikleştirilebilir: evet
Teknik etki: tam

Vulnrichment: CISA'nın karar ağacı girdileri.

CNA ile NVD puanı

NVD: 9,8
CNA · WDC PSIRT: 10,0; 0,2 puan fark

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:H

Kaydı açan otoritenin puanı ile NVD’nin bağımsız puanı. İki puan arasındaki fark ciddiyetin tartışmalı olduğunu gösterir.

Bu kayıt değişirse haber alın

KEV'de değil: sahada sömürü kaydı yok
Herkese açık istismar kodu kaydı yok
Düzeltme sürümü henüz yok

Bunlardan biri değişirse günlük e-posta özetinde haber veririz.

WordPress siteniz mi var? WP Lens ile ücretsiz tarayın

Sürümünüz etkileniyor mu? Kontrol edin

Noroxi analizi

Sizin ortamınızda ne anlama geliyor?

Yukarıdaki değerlendirme kaydın verisinden otomatik üretilir; ortamınızı bilmez. Bu açığın sizde gerçekten sömürülebilir olup olmadığını ve hangi önlemin yeteceğini ekibimiz sizin sistemlerinizde doğrular.

Bu ürünü kullanıyoruz, yardım isteyin

Etkilenen sistemler

Sürümünüz etkileniyor mu?

Ürünü seçip kullandığınız sürümü yazın. Bu kaydın sürüm aralıklarıyla tarayıcınızda karşılaştırılır; sürüm hiçbir yere gönderilmez.

Üretici	Ürün	CPE
westerndigital	my cloud os	cpe:2.3:o:westerndigital:my_cloud_os
westerndigital	my cloud	cpe:2.3:h:westerndigital:my_cloud
westerndigital	my cloud dl2100	cpe:2.3:h:westerndigital:my_cloud_dl2100
westerndigital	my cloud dl4100	cpe:2.3:h:westerndigital:my_cloud_dl4100
westerndigital	my cloud ex2 ultra	cpe:2.3:h:westerndigital:my_cloud_ex2_ultra
westerndigital	my cloud ex2100	cpe:2.3:h:westerndigital:my_cloud_ex2100
westerndigital	my cloud ex4100	cpe:2.3:h:westerndigital:my_cloud_ex4100
westerndigital	my cloud mirror g2	cpe:2.3:h:westerndigital:my_cloud_mirror_g2
westerndigital	my cloud pr2100	cpe:2.3:h:westerndigital:my_cloud_pr2100
westerndigital	my cloud pr4100	cpe:2.3:h:westerndigital:my_cloud_pr4100
westerndigital	wd cloud	cpe:2.3:h:westerndigital:wd_cloud

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.

westerndigital my cloud os5.02.104 ve sonrası · 5.26.202 öncesi

Üreticinin bildirdiği sürümler

Kaydı açan otorite (WDC PSIRT) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

Western Digital My Cloud OS 5
- 5.26.202 öncesietkilenir

Aynı üründe

westerndigital: tüm kayıtlar

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

CVE-2022-29842Command Injection Vulnerability in Western Digital My Cloud devices
40Planlayın
CVE-2022-22994Insufficient Verification of Data Authenticity Remote Code Execution Vulnerability on Western Digital My Cloud devices.
40Planlayın
CVE-2022-22992Command Injection Remote Code Execution vulnerability on Western Digital My Cloud devices.
40Planlayın
CVE-2022-29841OS Command Injection vulnerability in Western Digital My Cloud devices
39İzleyin
CVE-2021-36226Western Digital My Cloud devices before OS5 do not use cryptographically signed Firmware upgrade files.
39İzleyin
CVE-2021-36224Western Digital My Cloud devices before OS5 have a nobody account with a blank password.
39İzleyin

Düzeltme

Hangi sürüme geçmeli

Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.

Bu kayıt için kayıtlı bir düzeltme sürümü yok. Üretici bildirimleri için referanslara bakın.

İstismar durumu

Bilinen kamuya açık istismar yok

Şu an kamuya açık bir istismar görülmedi. Bu, güvende olduğunuz anlamına gelmez; yalnızca eşiğin biraz daha yüksek olduğunu gösterir.

Araştırma bağlamı

Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.

Zaman çizelgesi

Yayından bugüne: kavram kanıtı, Metasploit modülü, CISA KEV ve düzeltme kaydı. Tarihler kaynakların bildirdiği tarihlerdir.

Yayın dışında tarihli olay yok.

EPSS son 120 gün

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Yama ve commit bağlantıları

Referanslardaki commit, PR ve diff adresleri. Patch-diff ve varyant avı için başlangıç noktası; istismar değil, düzeltmedir.

Referanslarda commit ya da PR bağlantısı yok.

Kredi

Tüm araştırmacılar

CNA kaydında adı geçen bulan, bildiren ve analistler. Ada tıkla, aynı araştırmacının diğer kayıtlarını gör.

CNA kaydında kredi yok.

Varyant adayları

Aynı üründe aynı zafiyet sınıfı, 18 ay içinde. Yama kök nedeni kapatmadıysa kardeş hata burada olur.

—

Zincir adayları

Aynı üründe kimlik doğrulama atlatma ile yetki isteyen bir açık kısa aralıkla yayımlanmış: birlikte kimlik doğrulamasız bir yola dönüşebilir.

CVE-2023-228160 gün araylaLimited Post-Authentication Remote Command Injection in My Cloud Products
35İzleyin
CVE-2023-228150 gün araylaPost-authentication remote command injection vulnerability on Western Digital My Cloud OS 5 devices
26İzleyin
CVE-2022-2984051 gün araylaServer Side Request Forgery Vulnerability in Western Digital My Cloud Devices
22İzleyin