TerraMaster TerraMaster OS の認証の欠如の脆弱性（CVE-2022-24990）

何が起きた

TerraMaster の NAS（ネットワークにつなぐファイル保存用の機器）で動く TerraMaster OS に弱点が見つかりました。CISA の KEV の説明では、ログインしていない人でも機器で命令を実行できる弱点とされています。一方、NVD の説明では、特定の User-Agent を付けたリクエストを送ると、応答の中から管理者のパスワードを読み取れてしまうとされています。ログイン不要で、ネットワーク経由で離れた場所から悪用できます。実際に悪用が確認されており、ランサムウェアでの悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

TerraMaster の NAS を使っている人・組織が対象です。NVD の説明では、TerraMaster NAS 4.2.29 以前が影響を受けます。修正された版の番号は、このデータからは不明です。

何をすればいい

TerraMaster OS のバージョンを確かめ、4.2.29 以前なら、メーカーの案内に従って新しい版に更新してください。修正版の番号はこのデータからは分からないため、公式の案内（TerraMaster のリリース情報）を確認してください。

やることチェックリスト

• TerraMaster OS の版が4.2.29以前か調べる
• メーカーの案内に従い新しい版に更新する
• TerraMaster のリリース情報で修正版を調べる

用語メモ

NAS

ネットワークにつないで、複数のパソコンからファイルを保存・共有できる機器のことです。

User-Agent

ブラウザーなどがサーバーにリクエストを送るとき、自分が何者かを伝えるために付ける情報のことです。

ランサムウェア

データを暗号化して使えなくし、元に戻す代わりにお金を要求する悪質なプログラムのことです。