TerraMaster · TerraMaster OS
CVE-2022-24990
TerraMaster OS Remote Command Execution Vulnerability
De quoi s'agit-il
TerraMaster NAS 4.2.29 and earlier allows remote attackers to discover the administrative password by sending "User-Agent: TNAS" to module/api.php?mobile/webNasIPS and then reading the PWD field in the response.
CISA: TerraMaster OS contains a remote command execution vulnerability that allows an unauthenticated user to execute commands on the target endpoint.
Que faire
Apply updates per vendor instructions.
Échéance pour les agences fédérales américaines : 3 mars 2023
- Ajoutée à la liste de la CISA
- 10 février 2023
- Publiée
- 7 février 2023
- Gravité
- Critique 9,8 CVSS 3.1
- Probabilité d'attaques dans les 30 prochains jours (EPSS)
- 83% dans les 0,3% les plus à risque de toutes les failles connues
- Faiblesse
- CWE-306
- Plus de détails
- NVD · CVE.org · CISA
Toutes les références (5)
- https://forum.terra-master.com/en/viewforum.php?f=28
- https://www.broadcom.com/support/security-center/attacksignatures/detail?asid=33732
- https://github.com/0xf4n9x/CVE-2022-24990
- https://octagon.net/blog/2022/03/07/cve-2022-24990-terrmaster-tos-unauthenticated-remote-command-execution-vi…
- http://packetstormsecurity.com/files/172904/TerraMaster-TOS-4.2.29-Remote-Code-Execution.html
Sources : Known Exploited Vulnerabilities (CISA, domaine public), CVE records (cve.org) et EPSS (FIRST). Le risque d'attaque est l'estimation EPSS qu'une personne tente d'exploiter la faille dans les 30 prochains jours.