CVE-2017-17560

उच्चप्रकाशित

प्रकाशित: 12 दिस॰ 2017
अद्यतन: 5 अग॰ 2024
सीएनए असाइन करना: mitre
साक्ष्य देखे गए: 18 दिस॰ 2017

प्राथमिक सीवीएसएस

10.0/ 10उच्च

nvd · CVSS 2.0

AV:N/AC:L/Au:N/C:C/I:C/A:C

ईपीएसएस संभाव्यता अनुमान

64.1%

उच्च · अगले 30 दिन

प्रतिशत: 99.2%
मॉडल दिनांक: 21 सित॰ 2026

ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।

सारांश

वेस्टर्न डिजिटल MyCloud PR4100 2.30.172 डिवाइसों में एक समस्या खोजी गई। वेब प्रशासन घटक, /web/jquery/uploader/multi_uploadify.php, मल्टीपार्ट अपलोड कार्यक्षमता प्रदान करता है जो बिना प्रमाणीकरण के एक्सेस योग्य है और इसका उपयोग डिवाइस की फ़ाइल सिस्टम में कहीं भी फ़ाइल रखने के लिए किया जा सकता है। यह हमलावर को डिवाइस पर PHP शेल अपलोड करने और रूट के रूप में मनमाना कोड निष्पादन प्राप्त करने की क्षमता देता है।

स्रोत

Western Digital MyCloud - 'multi_uploadify' File Upload (Metasploit)एक्सप्लॉइट
Metasploit · php · 18 दिस॰ 2017

जिम्मेदारीपूर्ण उपयोग

भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।