CVE-2022-24990

• CVE-2022-24990

---

** Descripción - POC para CVE-2022-24990: Ejecución remota de comandos no autenticada en TerraMaster TOS mediante instanciación de objetos PHP. - creado por antx el 2022-04-12.

** Detalle - La vulnerabilidad permite a un atacante remoto ejecutar comandos arbitrarios en el sistema objetivo. - La vulnerabilidad existe debido a una validación de entrada inadecuada en el componente webNasIPS del script api.php. Un atacante remoto no autenticado puede pasar datos especialmente diseñados a la aplicación y ejecutar comandos arbitrarios en el sistema objetivo. - La explotación exitosa de esta vulnerabilidad puede resultar en un compromiso completo del sistema vulnerable.

** Gravedad del CVE - attackComplexity: LOW - attackVector: NETWORK - availabilityImpact: HIGH - confidentialityImpact: HIGH - integrityImpact: HIGH - privilegesRequired: NONE - scope: UNCHANGED - userInteraction: NONE - version: 3.1 - baseScore: 10.0 - baseSeverity: CRITICAL

** Afectados - TerraMaster TOS - < 4.2.30 - Todas las versiones 4.1.x

** POC - [[./CVE-2022-24990.py][Poc]]

** Parche - [[https://www.terra-master.com/jp/tos/][parche del proveedor]] - [[https://www.cnvd.org.cn/patchInfo/show/324076][CNPD-2022-324076]] - [[http://www.cnnvd.org.cn/web/xxk/bdxqById.tag?id=186051][CNPD-202203-2299]]

** Referencias - Ref-Fuente - [[https://github.com/lishang520/CVE-2022-24990][CVE-2022-24990信息泄露+RCE 一条龙]] - [[https://www.cybersecurity-help.cz/vdb/SB2022031606][Inyección de comandos en TerraMaster TOS]] - CVE - [[http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24990][CVE-2022-24990]] - CNVD - [[https://www.cnvd.org.cn/flaw/show/CNVD-2022-17750][CNVD-2022-17750]] - CNNVD - [[http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-202203-1539][CNNVD-202203-1539]] - Ref-Poc-Engine - [[https://github.com/antx-code/pocx][pocx]]