PT-2020-14498 · Terramaster · Terramaster Tos

Publicado 2020-08-16 · Atualizado 2021-07-21 · CVE-2020-15568

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do TerraMaster TOS anteriores à 4.1.29

Descrição

O problema está relacionado à verificação de parâmetros inválidos, o que leva à injeção de código como root. Trata-se de uma vulnerabilidade de invocação dinâmica de método de classe no arquivo include/exportUser.php. Um invasor pode acionar uma chamada ao método exec com comandos do sistema operacional no parâmetro opt.

Recomendações

Para versões anteriores à 4.1.29, atualize para a versão 4.1.29 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao arquivo include/exportUser.php para minimizar o risco de exploração. Evite usar o parâmetro opt no endpoint da API afetado até que o problema seja resolvido.

Exploit

Correção

Enumeração de Fraquezas

CWE-913

Identificadores relacionados

CVE-2020-15568

Produtos afetados

Terramaster Tos

Referências · 6

• 🔥 https://github.com/divinepwner/TerraMaster-TOS-CVE-2020-15568 · Exploit
• 🔥 https://ssd-disclosure.com/ssd-advisory-terramaster-os-exportuser-php-remote-code-execution · Exploit
• https://help.terra-master.com/TOS/view · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-15568 · Nota de Segurança
• https://t.me/cybersecuritytechnologies/1593 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-15568 · Aviso do Fabricante