Vulnérabilités dans l'interface web des dispositifs réseau Juniper, livrés avec JunOS

Dans l'interface web J-Web, utilisée sur les dispositifs réseau de la société Juniper équipés du système d'exploitation JunOS, plusieurs vulnérabilités ont été identifiées, dont la plus dangereuse (CVE-2022-22241) permet d'exécuter du code à distance sans authentification en envoyant une requête HTTP spécialement conçue. Les utilisateurs des équipements Juniper sont invités à mettre à jour le firmware, et si cela n'est pas possible, à s'assurer que l'accès à l'interface web est bloqué depuis les réseaux externes et limité uniquement aux hôtes de confiance.

La vulnérabilité réside dans le fait que le chemin de fichier transmis par l'utilisateur est traité dans le script /jsdm/ajax/logging_browse.php sans filtration du préfixe du type de contenu avant la vérification de l'authentification. L'attaquant peut transmettre un fichier phar malveillant sous prétexte d'image, et réaliser l'exécution de code PHP placé dans l'archive phar, en utilisant une méthode d'attaque de « désérialisation Phar » (par exemple, en spécifiant dans la requête « filepath=phar:/chemin/pharfile.jpg »).

Le problème réside dans le fait que lors de la vérification du fichier téléchargé à l'aide de la fonction PHP is_dir(), cette fonction désérialise automatiquement les métadonnées de l'archive Phar (PHP Archive) lors du traitement des chemins commençant par « phar:// ». Un effet similaire est observé lors du traitement des chemins de fichiers transmis par l'utilisateur dans les fonctions file_get_contents(), fopen(), file(), file_exists(), md5_file(), filemtime() et filesize().

L'attaque est compliquée par le fait qu'en plus d'initier l'exécution de l'archive phar, l'attaquant doit trouver un moyen de la télécharger sur le dispositif (par l'accès à /jsdm/ajax/logging_browse.php, on ne peut que spécifier le chemin pour exécuter un fichier déjà existant). Parmi les scénarios possibles pour le transfert de fichiers sur le dispositif, on évoque le chargement d'un fichier phar sous prétexte d'image via un service de transfert d'images et l'injection d'un fichier dans le cache du contenu web.

Autres vulnérabilités :

• CVE-2022-22242 — injection de paramètres externes non filtrés dans la sortie du script error.php, permettant d'atteindre le script intersite et d'exécuter du code JavaScript arbitraire dans le navigateur de l'utilisateur en cliquant sur un lien (par exemple, « https://JUNOS_IP/error.php?SERVER_NAME= ». Cette vulnérabilité peut être exploitée pour intercepter les paramètres de session de l'administrateur, si l'attaquant réussit à amener l'administrateur à ouvrir un lien spécialement formaté.
• CVE-2022-22243, CVE-2022-22244 — l'injection d'expressions XPATH via les scripts jsdm/ajax/wizards/setup/setup.php et /modules/monitor/interfaces/interface.php permet à un utilisateur authentifié sans privilèges de manipuler les sessions administratives.
• CVE-2022-22245 — l'absence de nettoyage approprié des séquences «..» dans les chemins traités par le script Upload.php permet à un utilisateur authentifié de télécharger son fichier PHP dans un répertoire autorisant l'exécution de scripts PHP (par exemple, en transmettant le chemin «fileName=\..\..\..\..\www\dir\new\shell.php»).
• CVE-2022-22246 — la possibilité d'exécuter un fichier PHP local arbitraire via des manipulations d'un utilisateur authentifié avec le script jrest.php, où des paramètres externes sont utilisés pour former le nom du fichier chargé par la fonction «require_once()» (par exemple, «/jrest.php?payload=alol/lol/any\..\..\..\..\any\file»).

Source : opennet.ru