ΠΠ΄Π΅Π½ΡΠΈΡΠΈΠΊΡΠ²Π°Π½ΠΈ ΡΠ΅ Π½Π΅ΠΊΠΎΠ»ΠΊΡ ΠΏΡΠΎΠΏΡΡΡΠΈ Π²ΠΎ Π²Π΅Π±-ΠΈΠ½ΡΠ΅ΡΡΠ΅ΡΡΠΎΡ J-Web, ΠΊΠΎΡ ΡΠ΅ ΠΊΠΎΡΠΈΡΡΠΈ Π²ΠΎ ΠΌΡΠ΅ΠΆΠ½ΠΈΡΠ΅ ΡΡΠ΅Π΄ΠΈ Juniper ΠΎΠΏΡΠ΅ΠΌΠ΅Π½ΠΈ ΡΠΎ ΠΎΠΏΠ΅ΡΠ°ΡΠΈΠ²Π½ΠΈΠΎΡ ΡΠΈΡΡΠ΅ΠΌ JunOS, ΠΎΠ΄ ΠΊΠΎΠΈ Π½Π°ΡΠΎΠΏΠ°ΡΠ½ΠΈΠΎΡ (CVE-2022-22241) Π²ΠΈ ΠΎΠ²ΠΎΠ·ΠΌΠΎΠΆΡΠ²Π° Π΄Π°Π»Π΅ΡΠΈΠ½ΡΠΊΠΈ Π΄Π° Π³ΠΎ ΠΈΠ·Π²ΡΡΠΈΡΠ΅ Π²Π°ΡΠΈΠΎΡ ΠΊΠΎΠ΄ Π²ΠΎ ΡΠΈΡΡΠ΅ΠΌΠΎΡ Π±Π΅Π· Π°Π²ΡΠ΅Π½ΡΠΈΠΊΠ°ΡΠΈΡΠ° ΡΠΎ ΠΈΡΠΏΡΠ°ΡΠ°ΡΠ΅ Π½Π° ΡΠΏΠ΅ΡΠΈΡΠ°Π»Π½ΠΎ Π΄ΠΈΠ·Π°ΡΠ½ΠΈΡΠ°Π½ΠΎ HTTP Π±Π°ΡΠ°ΡΠ΅. ΠΠ° ΠΊΠΎΡΠΈΡΠ½ΠΈΡΠΈΡΠ΅ Π½Π° ΠΎΠΏΡΠ΅ΠΌΠ°ΡΠ° Juniper ΠΈΠΌ ΡΠ΅ ΡΠΎΠ²Π΅ΡΡΠ²Π° Π΄Π° ΠΈΠ½ΡΡΠ°Π»ΠΈΡΠ°Π°Ρ Π°ΠΆΡΡΠΈΡΠ°ΡΠ° Π½Π° ΡΠΈΡΠΌΠ²Π΅ΡΠΎΡ, Π° Π°ΠΊΠΎ ΡΠΎΠ° Π½Π΅ Π΅ ΠΌΠΎΠΆΠ½ΠΎ, ΠΏΠΎΠ³ΡΠΈΠΆΠ΅ΡΠ΅ ΡΠ΅ ΠΏΡΠΈΡΡΠ°ΠΏΠΎΡ Π΄ΠΎ Π²Π΅Π±-ΠΈΠ½ΡΠ΅ΡΡΠ΅ΡΡΠΎΡ Π΄Π° Π΅ Π±Π»ΠΎΠΊΠΈΡΠ°Π½ ΠΎΠ΄ Π½Π°Π΄Π²ΠΎΡΠ΅ΡΠ½ΠΈ ΠΌΡΠ΅ΠΆΠΈ ΠΈ ΠΎΠ³ΡΠ°Π½ΠΈΡΠ΅Π½ ΡΠ°ΠΌΠΎ Π½Π° Π΄ΠΎΠ²Π΅ΡΠ»ΠΈΠ²ΠΈ Π΄ΠΎΠΌΠ°ΡΠΈΠ½ΠΈ.
Π‘ΡΡΡΠΈΠ½Π°ΡΠ° Π½Π° ΡΠ°Π½Π»ΠΈΠ²ΠΎΡΡΠ° Π΅ Π΄Π΅ΠΊΠ° ΠΏΠ°ΡΠ΅ΠΊΠ°ΡΠ° Π½Π° Π΄Π°ΡΠΎΡΠ΅ΠΊΠ°ΡΠ° ΠΎΠ±Π΅Π·Π±Π΅Π΄Π΅Π½Π° ΠΎΠ΄ ΠΊΠΎΡΠΈΡΠ½ΠΈΠΊΠΎΡ ΡΠ΅ ΠΎΠ±ΡΠ°Π±ΠΎΡΡΠ²Π° Π²ΠΎ ΡΠΊΡΠΈΠΏΡΠ°ΡΠ° /jsdm/ajax/logging_browse.php Π±Π΅Π· ΡΠΈΠ»ΡΡΠΈΡΠ°ΡΠ΅ Π½Π° ΠΏΡΠ΅ΡΠΈΠΊΡΠΎΡ ΡΠΎ ΡΠΈΠΏΠΎΡ Π½Π° ΡΠΎΠ΄ΡΠΆΠΈΠ½Π°ΡΠ° Π²ΠΎ ΡΠ°Π·Π°ΡΠ° ΠΏΡΠ΅Π΄ ΠΏΡΠΎΠ²Π΅ΡΠΊΠ°ΡΠ° Π·Π° Π°Π²ΡΠ΅Π½ΡΠΈΠΊΠ°ΡΠΈΡΠ°. ΠΠ°ΠΏΠ°ΡΠ°ΡΠΎΡ ΠΌΠΎΠΆΠ΅ Π΄Π° ΠΏΡΠ΅Π½Π΅ΡΠ΅ Π·Π»ΠΎΠ½Π°ΠΌΠ΅ΡΠ½Π° phar-Π΄Π°ΡΠΎΡΠ΅ΠΊΠ° ΠΏΠΎΠ΄ ΠΌΠ°ΡΠΊΠ°ΡΠ° Π½Π° ΡΠ»ΠΈΠΊΠ° ΠΈ Π΄Π° ΠΏΠΎΡΡΠΈΠ³Π½Π΅ ΠΈΠ·Π²ΡΡΡΠ²Π°ΡΠ΅ Π½Π° PHP-ΠΊΠΎΠ΄ΠΎΡ Π»ΠΎΡΠΈΡΠ°Π½ Π²ΠΎ Π°ΡΡ ΠΈΠ²Π°ΡΠ° phar ΠΊΠΎΡΠΈΡΡΠ΅ΡΡΠΈ Π³ΠΎ ΠΌΠ΅ΡΠΎΠ΄ΠΎΡ Π½Π° Π½Π°ΠΏΠ°Π΄ βPhar deserializationβ (Π½Π° ΠΏΡΠΈΠΌΠ΅Ρ, Π½Π°Π²Π΅Π΄ΡΠ²Π°ΡΡΠΈ βfilepath=phar:/path/pharfile.jpg β Π²ΠΎ Π±Π°ΡΠ°ΡΠ΅ΡΠΎ).
ΠΡΠΎΠ±Π»Π΅ΠΌΠΎΡ Π΅ ΡΡΠΎ ΠΏΡΠΈ ΠΏΡΠΎΠ²Π΅ΡΠΊΠ° Π½Π° ΠΏΠΎΠ΄ΠΈΠ³Π½Π°ΡΠ°ΡΠ° Π΄Π°ΡΠΎΡΠ΅ΠΊΠ° ΡΠΎ ΠΏΠΎΠΌΠΎΡ Π½Π° ΡΡΠ½ΠΊΡΠΈΡΠ°ΡΠ° PHP is_dir(), ΠΎΠ²Π°Π° ΡΡΠ½ΠΊΡΠΈΡΠ° Π°Π²ΡΠΎΠΌΠ°ΡΡΠΊΠΈ Π³ΠΈ Π΄Π΅ΡΠ΅ΡΠΈΡΠ°Π»ΠΈΠ·ΠΈΡΠ° ΠΌΠ΅ΡΠ°ΠΏΠΎΠ΄Π°ΡΠΎΡΠΈΡΠ΅ ΠΎΠ΄ Π°ΡΡ ΠΈΠ²Π°ΡΠ° Π½Π° Phar ΠΊΠΎΠ³Π° Π³ΠΈ ΠΎΠ±ΡΠ°Π±ΠΎΡΡΠ²Π° ΠΏΠ°ΡΠ΅ΠΊΠΈΡΠ΅ ΡΡΠΎ Π·Π°ΠΏΠΎΡΠ½ΡΠ²Π°Π°Ρ ΡΠΎ βphar://β. Π‘Π»ΠΈΡΠ΅Π½ Π΅ΡΠ΅ΠΊΡ ΡΠ΅ Π·Π°Π±Π΅Π»Π΅ΠΆΡΠ²Π° ΠΊΠΎΠ³Π° ΡΠ΅ ΠΎΠ±ΡΠ°Π±ΠΎΡΡΠ²Π°Π°Ρ ΠΏΠ°ΡΠ΅ΠΊΠΈΡΠ΅ Π½Π° Π΄Π°ΡΠΎΡΠ΅ΠΊΠΈΡΠ΅ ΠΎΠ±Π΅Π·Π±Π΅Π΄Π΅Π½ΠΈ ΠΎΠ΄ ΠΊΠΎΡΠΈΡΠ½ΠΈΠΊΠΎΡ Π²ΠΎ ΡΡΠ½ΠΊΡΠΈΠΈΡΠ΅ file_get_contents(), fopen(), file(), file_exists(), md5_file(), filemtime() ΠΈ filesize().
ΠΠ°ΠΏΠ°Π΄ΠΎΡ Π΅ ΠΊΠΎΠΌΠΏΠ»ΠΈΡΠΈΡΠ°Π½ ΠΏΠΎΡΠ°Π΄ΠΈ ΡΠ°ΠΊΡΠΎΡ ΡΡΠΎ ΠΎΡΠ²Π΅Π½ ΡΡΠΎ ΠΈΠ½ΠΈΡΠΈΡΠ° ΠΈΠ·Π²ΡΡΡΠ²Π°ΡΠ΅ Π½Π° Π°ΡΡ ΠΈΠ²Π°ΡΠ° ΡΠ°ΡΠΌΠ°, Π½Π°ΠΏΠ°ΡΠ°ΡΠΎΡ ΠΌΠΎΡΠ° Π΄Π° Π½Π°ΡΠ΄Π΅ Π½Π°ΡΠΈΠ½ Π΄Π° Π³ΠΎ ΠΏΡΠ΅Π·Π΅ΠΌΠ΅ Π½Π° ΡΡΠ΅Π΄ΠΎΡ (ΡΠΎ ΠΏΡΠΈΡΡΠ°ΠΏ Π΄ΠΎ /jsdm/ajax/logging_browse.php, ΠΌΠΎΠΆΠ΅ΡΠ΅ ΡΠ°ΠΌΠΎ Π΄Π° ΡΠ° Π½Π°Π²Π΅Π΄Π΅ΡΠ΅ ΠΏΠ°ΡΠ΅ΠΊΠ°ΡΠ° Π΄ΠΎ ΠΈΠ·Π²ΡΡΠΈ Π²Π΅ΡΠ΅ ΠΏΠΎΡΡΠΎΠ΅ΡΠΊΠ° Π΄Π°ΡΠΎΡΠ΅ΠΊΠ°). ΠΠΎΠΆΠ½ΠΈΡΠ΅ ΡΡΠ΅Π½Π°ΡΠΈΡΠ° Π·Π° ΠΏΡΠΈΡΡΠΈΠ³Π½ΡΠ²Π°ΡΠ΅ Π½Π° Π΄Π°ΡΠΎΡΠ΅ΠΊΠΈ Π½Π° ΡΡΠ΅Π΄ΠΎΡ Π²ΠΊΠ»ΡΡΡΠ²Π°Π°Ρ ΠΏΡΠ΅Π·Π΅ΠΌΠ°ΡΠ΅ phar-Π΄Π°ΡΠΎΡΠ΅ΠΊΠ° ΠΏΡΠ΅ΠΏΡΠ°Π²Π΅Π½Π° ΠΊΠ°ΠΊΠΎ ΡΠ»ΠΈΠΊΠ° ΠΏΡΠ΅ΠΊΡ ΡΡΠ»ΡΠ³Π° Π·Π° ΠΏΡΠ΅Π½ΠΎΡ Π½Π° ΡΠ»ΠΈΠΊΠΈ ΠΈ Π·Π°ΠΌΠ΅Π½Π° Π½Π° Π΄Π°ΡΠΎΡΠ΅ΠΊΠ°ΡΠ° Π²ΠΎ ΠΊΠ΅ΡΠΎΡ Π½Π° Π²Π΅Π±-ΡΠΎΠ΄ΡΠΆΠΈΠ½ΠΈΡΠ΅.
ΠΡΡΠ³ΠΈ ΠΏΡΠΎΠΏΡΡΡΠΈ:
- CVE-2022-22242 β Π·Π°ΠΌΠ΅Π½Π° Π½Π° Π½Π΅ΡΠΈΠ»ΡΡΠΈΡΠ°Π½ΠΈ Π½Π°Π΄Π²ΠΎΡΠ΅ΡΠ½ΠΈ ΠΏΠ°ΡΠ°ΠΌΠ΅ΡΡΠΈ Π²ΠΎ ΠΈΠ·Π»Π΅Π·ΠΎΡ ΠΎΠ΄ ΡΠΊΡΠΈΠΏΡΠ°ΡΠ° error.php, ΠΊΠΎΡΠ° ΠΎΠ²ΠΎΠ·ΠΌΠΎΠΆΡΠ²Π° ΡΠΊΡΠΈΠΏΡΠΈΡΠ°ΡΠ΅ ΠΌΠ΅ΡΡ ΡΡΡΠ°Π½ΠΈΡΠΈ ΠΈ ΠΈΠ·Π²ΡΡΡΠ²Π°ΡΠ΅ Π½Π° ΠΏΡΠΎΠΈΠ·Π²ΠΎΠ»Π΅Π½ JavaScript ΠΊΠΎΠ΄ Π²ΠΎ ΠΏΡΠ΅Π»ΠΈΡΡΡΠ²Π°ΡΠΎΡ Π½Π° ΠΊΠΎΡΠΈΡΠ½ΠΈΠΊΠΎΡ ΠΊΠΎΠ³Π° ΡΠ»Π΅Π΄ΠΈ Π²ΡΡΠΊΠ° (Π½Π° ΠΏΡΠΈΠΌΠ΅Ρ, βhttps:// JUNOS_IP/error.php?SERVER_NAME= alert(0)". Π Π°Π½Π»ΠΈΠ²ΠΎΡΡΠ° ΠΌΠΎΠΆΠ΅ Π΄Π° ΡΠ΅ ΠΊΠΎΡΠΈΡΡΠΈ Π·Π° ΠΏΡΠ΅ΡΡΠ΅ΡΠ½ΡΠ²Π°ΡΠ΅ Π½Π° ΠΏΠ°ΡΠ°ΠΌΠ΅ΡΡΠΈΡΠ΅ Π½Π° Π°Π΄ΠΌΠΈΠ½ΠΈΡΡΡΠ°ΡΠΎΡΡΠΊΠ°ΡΠ° ΡΠ΅ΡΠΈΡΠ° Π΄ΠΎΠΊΠΎΠ»ΠΊΡ Π½Π°ΠΏΠ°ΡΠ°ΡΠΈΡΠ΅ ΡΡΠΏΠ΅Π°Ρ Π΄Π° Π³ΠΎ Π½Π°ΡΠ΅ΡΠ°Π°Ρ Π°Π΄ΠΌΠΈΠ½ΠΈΡΡΡΠ°ΡΠΎΡΠΎΡ Π΄Π° ΠΎΡΠ²ΠΎΡΠΈ ΡΠΏΠ΅ΡΠΈΡΠ°Π»Π½ΠΎ Π΄ΠΈΠ·Π°ΡΠ½ΠΈΡΠ°Π½Π° Π²ΡΡΠΊΠ°.
- CVE-2022-22243, CVE-2022-22244 XPATH Π·Π°ΠΌΠ΅Π½Π°ΡΠ° Π½Π° ΠΈΠ·ΡΠ°Π·ΠΎΡ ΠΏΡΠ΅ΠΊΡ jsdm/ajax/wizards/setup/setup.php ΠΈ /modules/monitor/interfaces/interface.php ΡΠΊΡΠΈΠΏΡΠΈΡΠ΅ ΠΎΠ²ΠΎΠ·ΠΌΠΎΠΆΡΠ²Π° Π½Π΅ΠΏΡΠΈΠ²ΠΈΠ»Π΅Π³ΠΈΡΠ°Π½ ΠΊΠΎΡΠΈΡΠ½ΠΈΠΊ Π΄Π° ΠΌΠ°Π½ΠΈΠΏΡΠ»ΠΈΡΠ° ΡΠΎ Π°Π²ΡΠ΅Π½ΡΠΈΡΠΈΡΠ°Π½ΠΈ ΡΠ΅ΡΠΈΠΈ.
- CVE-2022-22245 ΠΠ΅Π΄ΠΎΡΡΠ°ΡΠΎΠΊ Π½Π° ΡΠΎΠΎΠ΄Π²Π΅ΡΠ½Π° ΡΠ°Π½Π°ΡΠΈΡΠ° Π½Π° ΡΠ΅ΠΊΠ²Π΅Π½ΡΠ°ΡΠ° β..β Π²ΠΎ ΠΏΠ°ΡΠ΅ΠΊΠΈΡΠ΅ ΠΎΠ±ΡΠ°Π±ΠΎΡΠ΅Π½ΠΈ Π²ΠΎ ΡΠΊΡΠΈΠΏΡΠ°ΡΠ° Upload.php ΠΌΡ ΠΎΠ²ΠΎΠ·ΠΌΠΎΠΆΡΠ²Π° Π½Π° Π°Π²ΡΠ΅Π½ΡΠΈΡΠΈΡΠ°Π½ΠΈΠΎΡ ΠΊΠΎΡΠΈΡΠ½ΠΈΠΊ Π΄Π° ΡΠ° ΠΏΠΎΡΡΠ°Π²ΠΈ ΡΠ²ΠΎΡΠ°ΡΠ° PHP-Π΄Π°ΡΠΎΡΠ΅ΠΊΠ° Π²ΠΎ Π΄ΠΈΡΠ΅ΠΊΡΠΎΡΠΈΡΠΌ ΡΡΠΎ Π΄ΠΎΠ·Π²ΠΎΠ»ΡΠ²Π° ΠΈΠ·Π²ΡΡΡΠ²Π°ΡΠ΅ Π½Π° PHP ΡΠΊΡΠΈΠΏΡΠΈΡΠ΅ (Π½Π° ΠΏΡΠΈΠΌΠ΅Ρ, ΡΠΎ ΠΏΡΠ΅Π½Π΅ΡΡΠ²Π°ΡΠ΅ ΠΏΠ°ΡΠ΅ΠΊΠ°ΡΠ° "fileName=\. .\..\..\..\www\dir\new\shell.php").
- CVE-2022-22246 - ΠΠΎΠΆΠ½ΠΎΡΡ Π·Π° ΠΏΡΠΎΠΈΠ·Π²ΠΎΠ»Π½ΠΎ ΠΈΠ·Π²ΡΡΡΠ²Π°ΡΠ΅ Π½Π° Π»ΠΎΠΊΠ°Π»Π½Π° PHP-Π΄Π°ΡΠΎΡΠ΅ΠΊΠ° ΠΏΡΠ΅ΠΊΡ ΠΌΠ°Π½ΠΈΠΏΡΠ»Π°ΡΠΈΡΠ° ΠΎΠ΄ Π°Π²ΡΠ΅Π½ΡΠΈΡΠΈΡΠ°Π½ ΠΊΠΎΡΠΈΡΠ½ΠΈΠΊ Π½Π° ΡΠΊΡΠΈΠΏΡΠ°ΡΠ° jrest.php, Π²ΠΎ ΠΊΠΎΡΠ° Π½Π°Π΄Π²ΠΎΡΠ΅ΡΠ½ΠΈΡΠ΅ ΠΏΠ°ΡΠ°ΠΌΠ΅ΡΡΠΈ ΡΠ΅ ΠΊΠΎΡΠΈΡΡΠ°Ρ Π·Π° ΡΠΎΡΠΌΠΈΡΠ°ΡΠ΅ Π½Π° ΠΈΠΌΠ΅ΡΠΎ Π½Π° Π΄Π°ΡΠΎΡΠ΅ΠΊΠ°ΡΠ° Π²ΡΠΈΡΠ°Π½Π° ΠΎΠ΄ ΡΡΠ½ΠΊΡΠΈΡΠ°ΡΠ° βrequire_once()β (Π·Π° ΠΏΡΠΈΠΌΠ΅Ρ, "/jrest.php?payload =alol/lol/any\..\..\..\..\any\file")
ΠΠ·Π²ΠΎΡ: opennet.ru