【漏洞通告】TerraMaster TOS多个漏洞通告

2020年12月12日，Dir00t在ihteam发表博客公开TerraMaster TOS 4.2.06多个漏洞，其中包括远程命令执行漏洞。2020年12月24日，NVD分配TerraMaster TOS漏洞CVE编号。

深信服安全研究团队依据漏洞重要性和影响力进行评估，作出漏洞通告。

TOS (TerraMaster Operating System) 是TerraMaster操作系统的缩写，Linux平台下专门为TerraMaster云存储NAS服务器开发的基于网页界面的操作系统。

2020年，IHTeam对TOS版本4.2.06进行了安全分析，发现多个漏洞。漏洞类型如下： 

TerraMaster TOS多个漏洞描述如下：

CVE-2020-28184

TerraMaster TOS <= 4.2.06中的跨站点脚本（XSS）漏洞允许经过远程身份验证的用户通过mod参数将任意Web脚本或HTML注入/module/index.php页面。

CVE-2020-28185

TerraMaster TOS <= 4.2.06中的用户枚举漏洞允许远程未经身份验证的攻击者通过wizard/initialise.php页面的username参数来枚举和识别系统内的有效用户。

CVE-2020-28186

TerraMaster TOS <= 4.2.06中的电子邮件注入允许未经身份验证的远程攻击者利用忘记密码功能，重置账号密码实现账号接管。

CVE-2020-28187

TerraMaster TOS <= 4.2.06中的多个目录遍历漏洞允许远程身份验证的攻击者通过/tos/index.php?editor/fileGet路径下的filename参数、 /include/ajax/logtable.php路径下的Event参数和/include/core/index.php路径下的opt参数，读取文件系统中的任何文件。

CVE-2020-28188

TerraMaster TOS <= 4.2.06中的远程命令执行漏洞允许未经身份验证的远程攻击者通过/include/makecvs.php的Event参数注入系统命令。

CVE-2020-28190

TerraMaster TOS <= 4.2.06通过不安全的通道（HTTP）检查（系统和应用程序的）更新。中间人攻击者能够拦截这些请求，并替换为恶意的应用程序或更新。

CVE-2020-29189

TerraMaster TOS <= 4.2.06中的错误访问控制漏洞使经过身份验证的远程攻击者可以绕过只读限制，并获得NAS中任何文件夹的完全访问权限。

CVE-2020-28184

允许经过远程身份验证的用户通过mod参数将任意Web脚本或HTML注入/module/index.php页面。

CVE-2020-28185

TerraMaster TOS <= 4.2.06中的用户枚举漏洞允许远程未经身份验证的攻击者通过wizard/initialise.php页面的username参数来枚举和识别系统内的有效用户。

CVE-2020-28186

忘记密码功能容易受到电子邮件注入的攻击，使攻击者可以接收到第三方电子邮件的验证码。仅当用户在帐户上指定“安全电子邮件”时，此攻击才有效。

第一步是使用通过以下方式，获取安全电子邮件的有效帐户

（CVE-2020-28185）：

响应将如下所示：

{"username":"testaccount","email":"[email protected]","status":1}

继续请求密码重置，由于电子邮件注入（用逗号分隔的电子邮件），用户和攻击者都将收到验证码。

收到验证码：

将收到的验证码和重置的新密码，发送到服务器，服务器返回重置成功信息；

使用新的密码登录成功。

CVE-2020-28187

确定了导致内部文件系统泄露的目录遍历实例。可以执行以下经过身份验证的请求来读取文件：

CVE-2020-28188

远程攻击者通过/include/makecvs.php的Event参数，执行任意系统命令。

CVE-2020-28190

通过未加密的通信通道（HTTP）检查并交付软件更新和应用程序，将允许中间人攻击成功安装恶意应用程序或更新。

CVE-2020-29189

创建用户后，可以将其放在对NAS文件夹具有只读访问权限的组中。可以通过设置right对应的值为2，绕过只读访问权限：

right数组参考userlist数组，因此，值为2将具有较大的读/写访问权限，值1是仅授予读取访问权限。

【影响版本】

TerraMaster TOS <= 4.2.06

访问部署TerraMaster TOS默认的8181端口，通过/version接口，返回当前TerraMaster TOS版本，若是4.2.06或更低版本，则此漏洞存在。

目前厂商还未发布升级补丁修复漏洞，请受影响用户及时关注更新官方补丁。官方链接如下：https://www.terra-master.com/cn

 【深信服下一代防火墙】预计2020年12月28日后可轻松防御远程命令执行漏洞， 建议部署深信服下一代防火墙的用户更新至最新的安全防护规则，可轻松抵御此高危风险。

【深信服云盾】预计2020年12月28日后从云端自动更新防护规则，云盾用户无需操作，即可轻松、快速防御此高危风险。

【深信服安全感知平台】预计2020年12月28日后可检测利用该漏洞的攻击，实时告警，并可联动【深信服下一代防火墙等产品】实现对攻击者ip的封堵。

【深信服安全运营服务】深信服云端安全专家提供7*24小时持续的安全运营服务。对存在漏洞的用户，检查并更新了客户防护设备的策略，确保客户防护设备可以防御此漏洞风险。

【深信服安全云眼】预计2020年12月28日后完成检测更新，对所有用户网站探测，保障用户安全。不清楚自身业务是否存在漏洞的用户，可注册信服云眼账号，获取30天免费安全体验。

注册地址：http://saas.sangfor.com.cn

【深信服云镜】预计2020年12月28日后完成检测能力的发布，部署云端版云镜的用户只需选择紧急漏洞检测，即可轻松、快速检测此高危风险。部署离线版云镜的用户需要下载离线更新包来获取该漏洞的检测能力。

1. https://www.ihteam.net/advisory/terramaster-tos-multiple-vulnerabilities/

2. https://www.terra-master.com/cn/

点击阅读原文，及时关注并登录深信服智安全平台，可轻松查询漏洞相关解决方案。