TerraMaster · TerraMaster OS
CVE-2022-24990
TerraMaster OS Remote Command Execution Vulnerability
مورد سوءاستفاده در حملات
مورد استفادهٔ باج‌افزارها
بحرانی ۹٫۸ احتمال حمله: ۸۳%
چیست
TerraMaster NAS 4.2.29 and earlier allows remote attackers to discover the administrative password by sending "User-Agent: TNAS" to module/api.php?mobile/webNasIPS and then reading the PWD field in the response.
CISA: TerraMaster OS contains a remote command execution vulnerability that allows an unauthenticated user to execute commands on the target endpoint.
چه باید کرد
Apply updates per vendor instructions.
مهلت برای نهادهای فدرال آمریکا: ۳ مارس ۲۰۲۳
- افزوده‌شده به فهرست CISA
- ۱۰ فوریهٔ ۲۰۲۳
- منتشرشده
- ۷ فوریهٔ ۲۰۲۳
- شدت
- بحرانی ۹٫۸ CVSS 3.1
- احتمال حمله در ۳۰ روز آینده (EPSS)
- ۸۳% در ۰٫۳% بالای همهٔ آسیب‌پذیری‌های شناخته‌شده
- نوع ضعف
- CWE-306
- جزئیات بیشتر
- NVD · CVE.org · CISA
همهٔ منابع (5)
- https://forum.terra-master.com/en/viewforum.php?f=28
- https://www.broadcom.com/support/security-center/attacksignatures/detail?asid=33732
- https://github.com/0xf4n9x/CVE-2022-24990
- https://octagon.net/blog/2022/03/07/cve-2022-24990-terrmaster-tos-unauthenticated-remote-command-execution-vi…
- http://packetstormsecurity.com/files/172904/TerraMaster-TOS-4.2.29-Remote-Code-Execution.html
منابع: Known Exploited Vulnerabilities (CISA، مالکیت عمومی)، CVE records (cve.org) و EPSS (FIRST). احتمال حمله برآورد EPSS از این است که کسی در ۳۰ روز آینده برای سوءاستفاده از این آسیب‌پذیری تلاش کند.