TerraMaster · TerraMaster OS
CVE-2022-24990
TerraMaster OS Remote Command Execution Vulnerability
Эксплуатируется в атаках
Используется вымогателями
Критическая 9,8 Вероятность атаки: 83%
Что это
TerraMaster NAS 4.2.29 and earlier allows remote attackers to discover the administrative password by sending "User-Agent: TNAS" to module/api.php?mobile/webNasIPS and then reading the PWD field in the response.
CISA: TerraMaster OS contains a remote command execution vulnerability that allows an unauthenticated user to execute commands on the target endpoint.
Что делать
Apply updates per vendor instructions.
Срок для федеральных ведомств США: 3 марта 2023 г.
- Добавлена в список CISA
- 10 февраля 2023 г.
- Опубликована
- 7 февраля 2023 г.
- Серьёзность
- Критическая 9,8 CVSS 3.1
- Вероятность атак в ближайшие 30 дней (EPSS)
- 83% в верхних 0,3% всех известных уязвимостей
- Тип слабости
- CWE-306
- Подробнее
- NVD · CVE.org · CISA
Все ссылки (5)
- https://forum.terra-master.com/en/viewforum.php?f=28
- https://www.broadcom.com/support/security-center/attacksignatures/detail?asid=33732
- https://github.com/0xf4n9x/CVE-2022-24990
- https://octagon.net/blog/2022/03/07/cve-2022-24990-terrmaster-tos-unauthenticated-remote-command-execution-vi…
- http://packetstormsecurity.com/files/172904/TerraMaster-TOS-4.2.29-Remote-Code-Execution.html
Источники: Known Exploited Vulnerabilities (CISA, общественное достояние), CVE records (cve.org) и EPSS (FIRST). Вероятность атаки — оценка EPSS того, что кто-то попытается использовать уязвимость в ближайшие 30 дней.