Vājības Juniper tīkla ierīču tīmekļa saskarnē, kas tiek piegādātas ar JunOS.

J-Web tīmekļa saskarnē, ko izmanto Juniper uzņēmuma tīkla iekārtās ar JunOS operētājprogrammu, tika atklātas vairākas ievainojamības, no kurām visbīstamākā (CVE-2022-22241) ļauj attālināti, neizpildot autentifikāciju, izpildīt savu kodu sistēmā, nosūtot īpaši sagatavotu HTTP pieprasījumu. Juniper iekārtu lietotājiem ieteicams instalēt aparatūras jauninājumu, bet, ja tas nav iespējams, jānodrošina piekļuve tīmekļa saskarnei tiek bloķēta no ārējām tīklām un ierobežota tikai uz uzticamiem hostiem.

Ievainojamības būtība ir tāda, ka lietotāja pārsūtītā faila ceļa apstrādi skriptā /jsdm/ajax/logging_browse.php veic bez satura tipa prefiksa filtrēšanas pirms autentifikācijas pārbaudes. Uzbrucējs var pasniegt ļaunprātīgu phar failu kā attēlu un panākt, ka PHP kods, kas izvietots phar arhīvā, tiek izpildīts, izmantojot 'Phar deserialization' uzbrukuma metodi (piemēram, nosakot pieprasījumā 'filepath=phar:/ceļš/pharfile.jpg').

Problēma ir tā, ka, pārbaudot augšupielādēto failu ar PHP funkciju is_dir(), šī funkcija automātiski veic metadatu deserializāciju no Phar arhīva, apstrādājot ceļus, kas sākas ar 'phar://'. Līdzīgs efekts novērojams, apstrādājot lietotāja pārsūtītos faila ceļus funkcijās file_get_contents(), fopen(), file(), file_exists(), md5_file(), filemtime() un filesize().

Uzbrukumu sarežģī tas, ka, izsaucot phar arhīvu, uzbrucējam ir jāatrod veids, kā to augšupielādēt ierīcē (ar piekļuvi /jsdm/ajax/logging_browse.php var tikai norādīt ceļu, lai izpildītu jau esošu failu). No iespējamajiem failu piekļuves scenārijiem tiek minēta phar faila augšupielāde kā attēls caur attēlu pārsūtīšanas servisu un faila ielikšana tīmekļa satura kešatmiņā.

Citas ievainojamības:

• CVE-2022-22242 — filtrēto ārējo parametru iekļaušana skripta error.php izvadē, ļaujot veikt starpsaišu skriptingu un izpildīt lietotāja pārlūkprogrammā patvaļīgu JavaScript kodu, pārejot pa saiti (piemēram, 'https://JUNOS_IP/error.php?SERVER_NAME='). Ievainojamību var izmantot, lai nozagtu administratora sesijas parametrus, ja uzbrucējs panāk, ka administrators atver īpaši sagatavotu saiti.
• CVE-2022-22243, CVE-2022-22244 — XPATH izteikumu ieņēmšana caur jsdm/ajax/wizards/setup/setup.php un /modules/monitor/interfaces/interface.php skriptiem ļauj nepilnvarotam autentificētam lietotājam manipulēt ar administratora sesijām.
• CVE-2022-22245 — nepietiekama «..» secību tīrīšana ceļos, ko apstrādā Upload.php skripts, ļauj autentificētam lietotājam augšupielādēt savu PHP failu direktorijā, kurā tiek atļauta PHP skriptu izpilde (piemēram, nosūtot ceļu «fileName=\..\..\..\..\www\dir\new\shell.php»).
• CVE-2022-22246 — iespēja izpildīt patvaļīgu lokālo PHP failu, manipulējot autentificētajam lietotājam ar jrest.php skriptu, kurā ārējie parametri tiek izmantoti, lai veidotu faila nosaukumu, ko augšupielādē funkcija «require_once()» (piemēram, «/jrest.php?payload=alol/lol/any\..\..\..\..\any\file»).

Avots: opennet.lv