PT-2024-5724 · Western Digital · Wd Discovery

Abdulkarim + 2 · Publicado 2024-08-02 · Atualizado 2024-09-12 · CVE-2024-22169

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.2

Alta

Vetor base

AV:L/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do WD Discovery anteriores à 5.0.589

Descrição

O problema está relacionado a uma configuração incorreta nas definições do ambiente Node.js do WD Discovery, o que poderia permitir a execução de código utilizando a variável de ambiente ELECTRON RUN AS NODE. Qualquer aplicativo malicioso operando com permissões de usuário padrão pode explorar essa vulnerabilidade, permitindo a execução de código dentro do contexto do aplicativo WD Discovery. O vetor de ataque requer que a vítima tenha o aplicativo WD Discovery instalado em seu dispositivo.

Recomendações

Para versões anteriores à 5.0.589, atualize para a versão 5.0.589, que corrige esta vulnerabilidade desativando certos recursos e fusíveis no Electron. Como solução alternativa temporária, considere restringir o acesso à variável de ambiente ELECTRON RUN AS NODE para minimizar o risco de exploração.

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

BDU:2024-06437

CVE-2024-22169

Produtos afetados

Wd Discovery

Referências · 8

• https://twitter.com/Komodosec/status/1834292425352999119 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2024-06437 · Nota de Segurança
• https://t.me/pentestingnews/50021 · Publicação no Telegram
• https://westerndigital.com/support/product-security/wdc-24004-wd-discovery-desktop-app-version-5-0-589 · Nota
• https://vuldb.com/ru/?id.273507 · Nota
• https://twitter.com/Brandefense/status/1822921616440926635 · Publicação no Twitter
• https://t.me/cvedetector/2374 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-22169 · Nota de Segurança