Haavatavused Juniperi võrguseadmete veebiliideses, mis tarnitakse koos JunOS-iga

Juniperi võrguseadmetes, mis on varustatud JunOS-i operatsioonisüsteemiga, kasutatavas veebiliideses J-Web on avastatud mitu haavatavust. Kõige ohtlikum neist (CVE-2022-22241) võimaldab eemaldatult ilma autentimiseta süsteemis oma koodi käivitada, saates spetsiaalselt vormindatud HTTP-päringu. Juniperi seadmete kasutajatele soovitatakse installida tarkvarauuendust, ja kui see ei ole võimalik, veenduda, et veebiliidesele juurdepääs välisest võrgust on blokeeritud ja piiratud ainult usaldusväärsete hostide poolt.

Haavatavuse olemus seisneb selles, et kasutaja edastatud faili tee töödeldakse skriptis /jsdm/ajax/logging_browse.php ilma sisu tüüpide prefikse filtreerimata autentimise kontrollimise etapis. Ründaja võib edastada pahatahtliku phar-faili pildina ja saavutada phar-arhiivis sisalduva PHP-koodi täitmise, kasutades 'Phar deserialization' rünnaku meetodit (näiteks, kui päringus on 'filepath=phar:/tee/pharfile.jpg').

Probleem seisneb selles, et päringus saadetud faili kontrollimisel PHP-funktsiooniga is_dir() deserialiseerib see funktsioon automaatselt Phar (PHP Archive) arhiivi metaandmed, kui töödeldakse teid, mis algavad 'phar://'. Sarnane efekt ilmneb, kui töödeldakse kasutaja edastatud faili teid funktsioonides file_get_contents(), fopen(), file(), file_exists(), md5_file(), filemtime() ja filesize().

Rünnak on keerulisem, kuna lisaks phar-arhiivi käivitamise algatamisele peab kurjategija leidma viisi, kuidas fail seadmesse laadida (pöördumine /jsdm/ajax/logging_browse.php kaudu võimaldab ainult olemasoleva faili teed näidata). Seadetesse failide sisseviimise võimalike stsenaariumide hulka kuuluvad phar-faili laadimine pildina pildiedastusteenuse kaudu ja faili sisestamine veebisisu vahemällu.

Teised haavatavused:

• CVE-2022-22242 — väljastamata filtreerimata välistest parameetritest tekkivad vigu skripti error.php väljundis, võimaldades teha XSS ja käivitada brauseris kasutaja seadmes juhuslikku JavaScript-koodi, minge näiteks lingile «https://JUNOS_IP/error.php?SERVER_NAME=». Haavatavust saab kasutada administraatori seansi parameetrite püüdmiseks, kui ründaja suudab veenda administraatorit avama spetsiaalselt kujundatud linki.
• CVE-2022-22243, CVE-2022-22244 — XPATH väljendite lisamine skriptide jsdm/ajax/wizards/setup/setup.php ja /modules/monitor/interfaces/interface.php kaudu võimaldab mitte õigustatud autentitud kasutajal manipuleerida administraatori seanssidega.
• CVE-2022-22245 — puudulik «..» järjestuse puhastamine teedes, mida töödeldakse skriptis Upload.php, võimaldab autentitud kasutajal laadida oma PHP-faili katalooge, kus PHP-skripte saab käivitada (näiteks, edastades tee «fileName=\..\..\..\..\www\dir\new\shell.php»).
• CVE-2022-22246 — võimalus käivitada juhuslik kohalik PHP-fail autentitud kasutaja manipuleerimise kaudu skriptiga jrest.php, kus välised parameetrid kasutatakse faili nime koostamiseks, mis laetakse funktsiooni «require_once()» kaudu (näiteks «/jrest.php?payload=alol/lol/any\..\..\..\..\any\file»).

Allikas: opennet.ru