研究人员披露了 TerraMaster NAS设备的关键安全漏洞的细节，这些设备可以链接到未经身份验证的远程代码执行，且具有最高权限。

埃塞俄比亚网络安全研究公司 Octagon Networks 的 Paulos yibello 在分享给 The Hacker News 的一份声明中表示，这些问题存在于 TerraMaster 操作系统（TOS）中，“只要知道受害者的 IP 地址，就能让未经认证的攻击者进入受害者的保险箱。”

TOS 是为 TNAS 设备设计的操作系统，使用户能够管理存储、安装应用程序和备份数据。经过严谨的披露，上周3月1日发布的 TOS 版本4.2.30中，这些漏洞被修补。

其中一个漏洞被追踪为 CVE-2022-24990，与一个名为“ webNasIPS”的组件中的信息泄露案例有关，导致 TOS 固件版本、默认网关接口的 IP 和 MAC 地址以及管理员密码的散列暴露。

另一方面，第二个漏洞涉与一个名为“ createRaid”(CVE-2022-24989)的 PHP 模块中的命令注入漏洞有关，导致出现这样一种情况，即这两个漏洞可以同时出现，以提交一个特别制作的命令来实现远程代码执行。

“总而言之，这是一个非常有趣的任务,”Yibelo说。“我们使用了信息泄漏的多个组件，另一个是机器时间的信息泄漏，并将其与经过身份验证的操作系统命令注入链接起来，以根用户身份实现未经身份验证的远程代码执行。

TerraMaster NAS 设备也受到 Deadbolt 勒索软件的攻击， 与 QNAP 和  ASUSTOR 一样也是受害者，该公司称，它解决了 TOS 版本4.2.30 中可能被黑客利用来部署 勒索软件的漏洞。

目前尚不清楚 Octagon Networks 发现的一系列漏洞和被武器化用于 Deadbolt感染的漏洞是同一种。我们已经联系 TerraMaster 进行进一步的查验，如果有进展，我们将更新相关报道。

“修正了与 Deadbolt 勒索软件攻击有关的安全漏洞,”该公司声明，并建议用户“重新安装最新版本的 TOS 系统(4.2.30或更高版本) ，以防止未加密文件被加密。