Af Eskil Sørensen, 29/08/23
Researchere har frigivet detaljer om proof-of-concept (PoC) udnyttelse af fire sårbarheder i Juniper Networks' SRX-firewalls og EX-switche, der gør det muligt at afvikle kode fra ’remote’.
Det skriver Help Net Security og en række andre medier baseret på et blogindlæg fra researcherne.
Der er tale om sårbarheder, som hver især har en mellem CVSS-score, men som sammen er alvorlige nok til, at Juniper Networks tidligere i august udgave en sikkerhedsbulletin uden for cyklus. Sammenkædningen af sårbarhederne kan gøre det muligt for angribere at fjernafvikle kode på sårbare apparater.
Sårbarhederne er:
- CVE-2023-36846 og CVE-2023-36847. De kan tillade, at en kritisk funktion (filupload via J-Web UI, som bruges til apparatkonfiguration) kan udnyttes uden forudgående godkendelse
- CVE-2023-36844 og CVE-2023-36845 kan tillade angribere at ændre visse PHP-miljøvariabler ved at angive navnet på en uploadet fil
I sikkerhedsbulletinen fra den 17. august opfordrede Juniper sine kunder til enten at opdatere deres apparater til en version af Junos OS, der indeholder patches til disse fejl, eller til at deaktivere eller begrænse adgangen til J-Web UI. Heri hed det også, at der ikke var rapporter om aktiv udnyttelse, men den situation kan, som Help Net Security skriver, snart ændre sig. Ikke mindst fordi researchere har udgivet PoC-udnyttelse.
Researcherne skriver selv, at de ikke vil blive overrasket over at se udnyttelse i stor skala, hvorfor de ligesom Juniper opfordrer til at implementere rettelserne eller på anden måde minimere risikoen for udnyttelse.
Links:
https://www.helpnetsecurity.com/2023/08/28/poc-rce-juniper-firewalls/
https://github.com/watchtowrlabs/juniper-rce_cve-2023-36844
https://www.bleepingcomputer.com/news/security/exploit-released-for-juniper-firewall-bugs-allowing-rce-attacks/
https://securityaffairs.com/149990/hacking/poc-exploit-juniper-srx-firewall-flaws.html
https://www.itnews.com.au/news/researchers-demo-bug-chaining-of-juniper-networks-vulnerabilities-599723