Уязвимости в уеб интерфейса на мрежовите устройства Juniper, доставяни с JunOS

В уеб интерфейса J-Web, който се използва в мрежовите устройства на компанията Juniper, които имат операционна система JunOS, бяха открити няколко уязвимости, най-опасната от които (CVE-2022-22241) позволява отдалечено извършване на код в системата без автентикация, чрез изпращане на специално форматиран HTTP заявка. На потребителите на оборудването на Juniper се препоръчва да инсталират обновление на фърмуера, а ако това не е възможно, да се уверят, че достъпът до уеб интерфейса е блокиран от външни мрежи и е ограничен само до доверени хостове.

Същността на уязвимостта е, че подадената от потребителя файловата пътека се обработва в скрипта /jsdm/ajax/logging_browse.php без филтриране на префикса с тип съдържание на етапа преди проверката за автентикация. Атакуващият може да подаде злонамерен phar файл под формата на изображение и да накара PHP кода, разположен в phar архив, да се изпълни чрез метода на атака „Phar десериализация“ (например, като посочи в заявката „filepath=phar:/път/pharfile.jpg“).

Проблемът е в това, че при проверка на качения файл с PHP функцията is_dir(), тази функция автоматично извършва десериализация на метаданните от Phar архив (PHP Archive) при обработка на пътища, започващи с „phar://“. Подобен ефект се наблюдава при обработка на подадените от потребителя файлови пътеки в функциите file_get_contents(), fopen(), file(), file_exists(), md5_file(), filemtime() и filesize().

Атаката е усложнена от факта, че освен инициирането на изпълнението на phar архива, злонамереният трябва да намери начин да зареди файла на устройството (чрез достъп до /jsdm/ajax/logging_browse.php може само да посочи път за изпълнение на вече съществуващ файл). Сред възможните сценарии за попадането на файлове на устройството са качването на phar файл под формата на изображение през услуга за предаване на изображения и подмяната на файл в кеша на уеб съдържанието.

Други уязвимости:

• CVE-2022-22242 — вмъкване на неотфилтрирани външни параметри в изхода на скрипта error.php, което позволява междусайтово скриптиране и изпълнение на произволен JavaScript код в браузъра на потребителя, когато се премине по връзка (например, "https://JUNOS_IP/error.php?SERVER_NAME="). Уязвимостта може да се използва за прихващане на параметри на сесията на администратора, ако атакуващият успее да накара администратора да отвори специално подготвена връзка.
• CVE-2022-22243, CVE-2022-22244 — вмъкване на XPATH изрази чрез скриптове jsdm/ajax/wizards/setup/setup.php и /modules/monitor/interfaces/interface.php, позволяващо на непривилегирован автентикиран потребител да манипулира сесиите на администратора.
• CVE-2022-22245 — отсъствие на адекватно почистване на последователността „..“ в пътищата, обработвани в скрипта Upload.php, позволява на автентикиран потребител да качи свой PHP файл в директория, допускаща изпълнение на PHP скриптове (например, предавайки пътя „fileName=\..\..\..\..\www\dir\new\shell.php“).
• CVE-2022-22246 — възможност за изпълнение на произволен локален PHP файл чрез манипулации на автентикиран потребител със скрипта jrest.php, в който външните параметри се използват за формиране на името на файла, зареждано от функцията „require_once()“ (например, "/jrest.php?payload=alol/lol/any\..\..\..\..\any\file")

Източник: opennet.ru