硬盘厂商western digital本周发出安全公告，修补app中一个允许攻击者访问受保护文件的重大漏洞。
这项漏洞最先是由安全研究人员xavier danest披露的目录遍历（directory traversal）漏洞，编号cve-2022-22988，它位于wd的文件管理员app edgerover之中，允许本地权限的攻击者提升权限，并且从基本的文件系统沙箱逃逸出来。一旦遭成功开采，这项漏洞可导致敏感资讯外泄，或是拒绝服务攻击（denial of service，dos）。
目录遍历又称路径遍历（path traversal）漏洞，是利用网站安全验证或app用户请求验证漏洞列出服务器目录，完成非授权的目的。
edgerover是wd及sandisk硬件内的个人内容管理app，让用户可针对计算机及外部硬盘上存储的文件，包括文件及图片制作管理清单及快照，简单好用的接口提供搜索、分类分群、预览或是侦测重复的文件。
cve-2022-22988 cvss 3.1风险值达到9.1，属重大风险。windows及macos版app都受最新漏洞影响，皆为1.5.1-594版本。
在今年1月13日接获外部研究人员通报后，western digital已经在1月20日修改文件和目录权限，只允许文件加载到安全文件夹中。
edgerover去年底也爆出其openssl函数库内，有可导致dos攻击及远程程序代码执行的漏洞。这项漏洞也已修补完成。