Trusted Design

解説:

CVE-2022-24990は、TerraMaster NASデバイスのTerraMaster Operating System (TOS) に存在する認証バイパスおよび情報漏えいの脆弱性です。この脆弱性を悪用されると、リモートの攻撃者によって管理者のパスワードが漏えいし、さらに認証なしでリモートコード実行（RCE）が可能になる可能性があります。

---

1. 脆弱性の概要

CVE-2022-24990は、TerraMaster NASデバイスのTOS (TerraMaster Operating System) バージョン4.2.29およびそれ以前に影響を与える、認証バイパスと情報漏えいの脆弱性です。この脆弱性は、TNASデバイスが特定のUser-Agentヘッダー（"User-Agent: TNAS"）を含むHTTPリクエストをmodule/api.php?mobile/webNasIPSに送信する際に、リクエストを適切に認証できないことに起因します。

1.1. 影響 リモートの攻撃者は、特別に細工されたHTTPリクエストを送信することで、認証なしに管理者のパスワードを発見することが可能です。 さらに、この脆弱性はリモートからのコマンドインジェクションにつながり、認証されていない状態で任意のコードを実行される可能性（リモートコード実行、RCE）があります。

1.2. 深刻度 SentinelOneは、この脆弱性を「critical (緊急)」と評価しています。 NIST NVDからの直接的なCVSSv3スコアは確認できませんでしたが、認証なしでの管理者パスワード漏えいおよびリモートコード実行の可能性を考慮すると、非常に深刻な脆弱性であると判断されます。

2. 対象となる環境

2.1. 影響を受けるOSバージョン TerraMaster NASデバイスで稼働するTerraMaster TOS (TerraMaster Operating System) バージョン 4.2.29 およびそれ以前のバージョンが影響を受けます。

2.2. 影響を受ける設定 module/api.php?mobile/webNasIPSスクリプトが特定のUser-Agentヘッダーの存在下でリクエストの認証に失敗する設定が影響を受けます。

3. 影響を受けた時の兆候

直接的な兆候について詳細な記述は少ないですが、以下のような兆候が考えられます。

• TOSデバイスに対する異常なネットワークアクセス、特にmodule/api.phpへの不審なリクエスト。
• 管理者のパスワードが意図せず変更されている、または既知の管理パスワードが漏洩している。
• NASデバイス上に不正なファイルが作成されている、または未知のプロセスが実行されている（リモートコード実行が成功した場合）。
• システムログに異常な認証試行やアクセス記録が見られる。

4. 推奨対策

4.1. 本対策 TerraMaster TOSを脆弱性が修正された最新バージョンにアップデートすることが最も推奨される対策です。

4.2. 暫定回避策（緩和策） * TerraMaster NASデバイスをインターネットから隔離し、信頼できるネットワークからのアクセスのみに制限する。 * ファイアウォールやWAF (Web Application Firewall) を導入し、module/api.php?mobile/webNasIPSへの不審なアクセス、特に特定のUser-Agentヘッダーを含むリクエストをブロックする設定を検討する。 * もし可能であれば、問題のUser-Agentヘッダーを検出してアクセスを拒否するルールを設定する。

参照元

• CVE-2022-24990: TerraMaster TOS Information Disclosure - SentinelOne
• NVD-CVE-2022-24990 - NIST
• CVE-2022-24990 - GitHub
• CVE-2022-24990 — CVE-2022-24990 TerraMaster TOS unauthenticated RCE via PHP Object Instantiation | Kitploit
• CVE-2022-24990信息泄露RCE漏洞 - CSDN博客
• Terramaster TOS 命令注入漏洞(CVE-2022-24990).Centos7漏洞扫描原创 - CSDN博客