Western Digital My Cloud漏洞CVE-2024-22170分析

Western Digital My Cloud是美国西部数据（Western Digital）公司的一款个人云存储设备，现阶段采用全新My Cloud NAS软件生态系统。

一、基本情况

My Cloud NAS系统具备安全更新、增强型数据隐私、优化连接可靠性、现代移动端和Web应用程序体验和优化照片/视频查看与分享功能。

My Cloud OS 5有助于用户在 My Cloud NAS 和私人网络轻松备份并整理来自多台计算机、智能手机和平板电脑大量内容，无需高价订阅。

Acronis True Image for Western Digital 软件集成获奖的备份和基于 AI 勒索软件和加密劫持攻击防护，提供简便、高效、安全的网络保护。

栋科技漏洞库近期关注到 Western Digital My Cloud 5.29.102 版本之前存在一个安全漏洞，漏洞追踪为CVE-2024-22170，CVSS评分9.2。

二、漏洞分析

CVE-2024-22170位于My Cloud 5.29.102 之前版本，这是一个远程漏洞、低复杂度、无需特权即可利用、影响机密性和完整性和可用性。

该漏洞源于 Western Digital My Cloud ddns-start 在 Linux 上的内存缓冲区漏洞范围内存在对操作的不当限制，从而可能导致缓冲区溢出。

简单来说，CVE-2024-22170漏洞位于动态 DNS 客户端，可通过中间人（MitM）攻击利用，未经检查的缓冲区允许攻击者执行任意代码。

攻击者可以通过拦截动态 DNS 更新请求并使用恶意负载进行响应，从而导致缓冲区溢出，攻击者可使用溢出缓冲区的有效负载进行响应。

Claroty Research的Team82 研究员Noam Moshe与Trend Micro Zero Day Initiative 合作披露了漏洞，西部数码在相关资安公告表示感谢。

Western Digital 已在最新固件更新中解决了该漏洞，其中包括增强 My Cloud OS 5 设备安全性的改进，建议受影响用户更新至最新版本。

该漏洞的潜在影响非常严重，包括未经授权访问敏感信息、修改或损坏数据以及系统崩溃或不可用，除更新固件之外可考虑其他安全措施。

比如进行网络分段和定期系统日志监控等操作，Western Digital 官方建议相关用户立即采取行动，从而保护相关设备和数据免遭潜在利用。

三、漏洞影响

My Cloud OS 5 固件版本 < 5.29.102，包含如下产品：

My Cloud EX2 Ultra、My Cloud EX4100、My Cloud PR2100、My Cloud PR4100、My Cloud、My Cloud Mirror G2；

My Cloud EX2100、My Cloud DL2100、My Cloud DL4100 和西数云

四、修复建议

强烈建议用户将其设备更新至 My Cloud OS 5 固件版本 5.29.102，以防止潜在的利用，受影响的设备和建议的操作：

My Cloud EX2 Ultra：更新至固件版本 5.29.102

My Cloud EX4100：更新至固件版本 5.29.102

My Cloud PR2100：更新至固件版本 5.29.102

My Cloud PR4100：更新至固件版本 5.29.102

My Cloud：更新至固件版本 5.29.102

My Cloud Mirror G2：更新至固件版本 5.29.102

My Cloud EX2100：更新至固件版本 5.29.102

My Cloud DL2100：更新至固件版本 5.29.102

My Cloud DL4100：更新至固件版本 5.29.102

WD Cloud：更新至固件版本 5.29.102