- Aktif istismar
- CWE-306
CVE-2022-24990
TerraMaster OS'ta kimlik doğrulamasız yönetici parolası ifşası
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 1359 gün
- Kaydı açan
- mitre
Yönetici özeti
Bu açık, saldırganın herhangi bir giriş bilgisi olmadan NAS cihazının yönetici parolasını almasına izin veriyor ve aktif olarak istismar edildiği bilinmektedir. Cihazda saklanan şirket verileri ele geçirilebilir, silinebilir veya fidye yazılımıyla şifrelenebilir. Etkilenen cihazların bir an önce güncellenmesi ve internetten erişimin kapatılması gerekir.
ÖzetTürkçe
TerraMaster NAS cihazlarının 4.2.29 ve önceki sürümlerinde, uzaktan bir saldırgan module/api.php?mobile/webNasIPS adresine "User-Agent: TNAS" başlığıyla istek göndererek yanıttaki PWD alanından yönetici parolasını öğrenebilir. Açık kimlik doğrulama gerektirmediği için (CWE-306) ağdan erişebilen cihazlar doğrudan risk altındadır. Zafiyet CISA'nın bilinen istismar edilen açıklar (KEV) kataloğunda yer almaktadır.
Saldırgan ne yapabilir?
Saldırgan yönetici parolasını ele geçirip cihazın yönetim arayüzüne yönetici olarak girebilir. Bu sayede NAS üzerindeki verilere erişebilir, bunları değiştirebilir veya silebilir ve cihaz üzerinde komut çalıştırabilir.
Kaynaktaki açıklama (İngilizce)
TerraMaster NAS 4.2.29 and earlier allows remote attackers to discover the administrative password by sending "User-Agent: TNAS" to module/api.php?mobile/webNasIPS and then reading the PWD field in the response.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- TerraMaster OS'u üreticinin yayımladığı güncel sürüme yükseltin; 4.2.29 ve önceki sürümler etkilenmektedir. Güncellemeyi üretici talimatlarına göre uygulayın. Genel öneri
- CISA gereği: Güncellemeleri üretici talimatlarına uygun şekilde uygulayın. CISA
- Güncelleme hemen yapılamıyorsa NAS yönetim arayüzünü internetten erişilemez hale getirin ve erişimi güvenlik duvarıyla yalnızca güvenilir iç ağ adresleriyle sınırlandırın. Genel öneri
- Güncellemeden sonra yönetici parolasını ve cihazda kullanılan diğer hesapların parolalarını değiştirin; parola ifşa edilmiş olabileceği için eski parolaları kullanmayın. Genel öneri
Ek önlemler
- NAS cihazlarını doğrudan internete açmayın; uzaktan erişim gerekiyorsa VPN kullanın. Genel öneri
- Cihaz günlüklerinde ve ağ kayıtlarında User-Agent değeri TNAS olan ve webNasIPS adresine yönelen şüpheli istekleri ve beklenmeyen yönetici oturumlarını izleyin. Genel öneri
- NAS verilerinin düzenli ve cihazdan bağımsız yedeklerini tutun; olası ele geçirilmeye karşı yedeklerin çevrimdışı olmasını sağlayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| TerraMaster OS | Sürüm belirtilmemiş | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- forum.terra-master.com/en/viewforum.php Diğer
- broadcom.com/support/security-center/attacksignatures/detail Diğer
- github.com/0xf4n9x/CVE-2022-24990 Diğer
- octagon.net/…command-execution-via-php-object-instantiation Diğer
- packetstormsecurity.com/…raMaster-TOS-4.2.29-Remote-Code-Execution.html Diğer
- forum.terra-master.com/en/viewtopic.php Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.