Sårbarheter i webgränssnittet på nätverksenheter från Juniper som levereras med JunOS

I webgränssnittet J-Web, som används i nätverksenheter från Juniper med operativsystemet JunOS, har flera sårbarheter upptäckts, där den mest allvarliga (CVE-2022-22241) gör det möjligt för en angripare att köra kod på systemet utan autentisering genom att skicka en specialutformad HTTP-förfrågan. Användare av Junipers utrustning rekommenderas att installera firmwareuppdateringen, och om detta inte är möjligt, att blockera tillgången till webgränssnittet från externa nätverk och begränsa den till endast betrodda värdar.

Sårbarhetens kärna ligger i att den filväg som användaren skickar hanteras i skriptet /jsdm/ajax/logging_browse.php utan att prefixet med innehållstyp filtreras innan autentisering sker. En angripare kan skicka en skadlig phar-fil under förespeglingen av en bild och lyckas köra PHP-kod som lagrats i phar-arkivet, genom att använda metoden för attacken "Phar deserialization" (till exempel genom att ange i förfrågan "filepath=phar:/väg/pharfile.jpg").

Problemet är att när den uppladdade filen kontrolleras med PHP-funktionen is_dir(), så avser denna funktion automatiskt att utföra deserialisering av metadata från Phar-arkivet (PHP Archive) när den hanterar vägar som börjar med "phar://". En liknande effekt observeras vid behandling av filvägar som skickas av användaren i funktionerna file_get_contents(), fopen(), file(), file_exists(), md5_file(), filemtime() och filesize().

Attacken kompliceras av att, utöver att initiera körning av phar-arkivet, måste angriparen hitta ett sätt att ladda upp det till enheten (genom att gå till /jsdm/ajax/logging_browse.php kan man endast ange en väg för att köra en redan existerande fil). Bland de möjliga scenarierna för filöverföring till enheten nämns uppladdning av en phar-fil under täckmantel av en bild via service för bildöverföring samt placera filen i webbinnehålls-cachen.

Övriga sårbarheter:

• CVE-2022-22242 – inmatning av ofiltrerade externa parametrar i utdata från skriptet error.php, vilket möjliggör programvaruöverföring mellan webbplatser och exekvering av godtycklig JavaScript-kod i användarens webbläsare vid klick på en länk (till exempel "https://JUNOS_IP/error.php?SERVER_NAME="). Sårbarheten kan användas för att fånga administratörens sessionsparametrar om angriparen lyckas få administratören att öppna en särskilt utformad länk.
• CVE-2022-22243, CVE-2022-22244 — injektion av XPATH-uttryck genom skripten jsdm/ajax/wizards/setup/setup.php och /modules/monitor/interfaces/interface.php, vilket gör att en obehörig autentiserad användare kan manipulera administratörssessioner.
• CVE-2022-22245 — avsaknaden av korrekt städning av sekvensen «..» i sökvägar som behandlas i skriptet Upload.php, vilket gör att en autentiserad användare kan ladda upp sin PHP-fil till en katalog som tillåter körning av PHP-skript (till exempel genom att ange sökvägen «fileName=\..\..\..\..\www\dir\new\shell.php»).
• CVE-2022-22246 — möjligheten att köra godtycklig lokal PHP-fil genom manipulation av skriptet jrest.php av en autentiserad användare, där externa parametrar används för att bilda namnet på filen som laddas av funktionen «require_once()» (till exempel «/jrest.php?payload=alol/lol/any\..\..\..\..\any\file»)

Källa: opennet.ru