** Descrição
- POC para CVE-2022-24990: Execução remota de comandos não autenticada no TerraMaster TOS via instanciação de objetos PHP.
- criado por antx em 2022-04-12.
** Detalhes
- A vulnerabilidade permite que um atacante remoto execute comandos arbitrários no sistema alvo.
- A vulnerabilidade existe devido à validação inadequada de entrada no componente webNasIPS no script api.php. Um atacante remoto não autenticado pode passar dados especialmente criados para a aplicação e executar comandos arbitrários no sistema alvo.
- A exploração bem-sucedida desta vulnerabilidade pode resultar no comprometimento total do sistema vulnerável.
** Severidade CVE
- attackComplexity: LOW
- attackVector: NETWORK
- availabilityImpact: HIGH
- confidentialityImpact: HIGH
- integrityImpact: HIGH
- privilegesRequired: NONE
- scope: UNCHANGED
- userInteraction: NONE
- version: 3.1
- baseScore: 10.0
- baseSeverity: CRITICAL
** Afetados
- TerraMaster TOS
- < 4.2.30
- Todas as versões 4.1.x
** POC
- [[./CVE-2022-24990.py][Poc]]
** Referências
- Fonte de referência
- [[https://github.com/lishang520/CVE-2022-24990][CVE-2022-24990 informação vazada + RCE completo]]
- [[https://www.cybersecurity-help.cz/vdb/SB2022031606][Injeção de Comandos no TerraMaster TOS]]
- CVE
- [[http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24990][CVE-2022-24990]]
- CNVD
- [[https://www.cnvd.org.cn/flaw/show/CNVD-2022-17750][CNVD-2022-17750]]
- CNNVD
- [[http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-202203-1539][CNNVD-202203-1539]]
- Ref-Poc-Engine
- [[https://github.com/antx-code/pocx][pocx]]
zz-socmap/cve-2022-24990
