** 説明
- CVE-2022-24990 の実証コード: PHP オブジェクトインスタンス化を介した TerraMaster TOS の未認証リモートコマンド実行。
- 作成者: antx, 日付: 2022-04-12。
** 詳細
- この脆弱性により、リモート攻撃者が対象システム上で任意のコマンドを実行できる可能性があります。
- 脆弱性は、api.php スクリプト内の webNasIPS コンポーネントにおける不適切な入力検証に起因します。リモートの未認証攻撃者は、特別に細工されたデータをアプリケーションに送信し、対象システム上で任意のコマンドを実行できます。
- この脆弱性の悪用に成功すると、対象システムが完全に侵害される可能性があります。
** CVE 深刻度
- attackComplexity: LOW
- attackVector: NETWORK
- availabilityImpact: HIGH
- confidentialityImpact: HIGH
- integrityImpact: HIGH
- privilegesRequired: NONE
- scope: UNCHANGED
- userInteraction: NONE
- version: 3.1
- baseScore: 10.0
- baseSeverity: CRITICAL
** 影響
- TerraMaster TOS
- < 4.2.30
- 全 4.1.x バージョン
** 実証コード
- [[./CVE-2022-24990.py][PoC]]
** 参考
- 参照元
- [[https://github.com/lishang520/CVE-2022-24990][CVE-2022-24990 情報漏洩+RCE オールインワン]]
- [[https://www.cybersecurity-help.cz/vdb/SB2022031606][TerraMaster TOS におけるコマンドインジェクション]]
- CVE
- [[http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24990][CVE-2022-24990]]
- CNVD
- [[https://www.cnvd.org.cn/flaw/show/CNVD-2022-17750][CNVD-2022-17750]]
- CNNVD
- [[http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-202203-1539][CNNVD-202203-1539]]
- 参照-PoC-エンジン
- [[https://github.com/antx-code/pocx][pocx]]
zz-socmap/cve-2022-24990
