CVE-2023-36844 , CVE-2023-36845 , CVE-2023-36846 , CVE-2023-36847

SRX और EX सीरीज़ उत्पादों में Juniper JunOS के भीतर रिमोट कोड निष्पादन प्राप्त करने के लिए @watchTowr द्वारा विकसित [CVE-2023-36844, CVE-2023-36845, CVE-2023-36846, CVE-2023-36847] CVEs को श्रृंखलित करने हेतु एक प्रूफ ऑफ कॉन्सेप्ट।

हमारे सुरक्षा अनुसंधान के लिए watchTowr लैब्स टीम का अनुसरण करें

• https://labs.watchtowr.com/
• https://twitter.com/watchtowrcyber
• https://twitter.com/alizthehax0r

तकनीकी विश्लेषण

watchTowr ने इन भेद्यताओं के पुनरुत्पादन, श्रृंखलन और शोषण में एक गहन अध्ययन किया, जिसे यहाँ पाया जा सकता है: https://labs.watchtowr.com/cve-2023-36844-and-friends-rce-in-juniper-firewalls/

सारांश

1. एक प्री-ऑथेंटिकेशन अपलोड भेद्यता का उपयोग करके एक यादृच्छिक फ़ाइल नाम के साथ एक प्रतिबंधित निर्देशिका में एक मनमाना PHP फ़ाइल अपलोड की जा सकती है।
2. उसी भेद्य फ़ंक्शन का उपयोग करते हुए, हम एक PHP कॉन्फ़िगरेशन फ़ाइल (.ini) अपलोड करते हैं जो auto_prepend_file निर्देश का उपयोग करके चरण 1 से PHP फ़ाइल को इंगित करती है और लोड करती है।
3. चूँकि सभी पर्यावरण चर HTTP अनुरोधों के माध्यम से सेट किए जा सकते हैं, हम चरण 2 से PHP कॉन्फ़िगरेशन फ़ाइल को लोड करने के लिए पर्यावरण चर PHPRC को अधिलेखित करते हैं और चरण 1 में घोषित PHP फ़ंक्शन के निष्पादन को ट्रिगर करते हैं।

उपयोग

PHP फ़ंक्शन को —payload फ़्लैग का उपयोग करके निर्दिष्ट किया जा सकता है, हालाँकि php_uname() डिफ़ॉल्ट रूप से सेट होता है।

python watchtowr-vs-junos_juniper_2023-08-25.py --url http://localhost

python watchtowr-vs-junos_juniper_2023-08-25.py --url http://localhost --payload "get_current_user()"

शमन उपाय

JunOS के नवीनतम संस्करण में अपडेट करें, और/या Juniper द्वारा प्रदान किए गए पैच लागू करें। यदि ये क्रियाएँ संभव नहीं हैं, तो कृपया Juniper द्वारा प्रदान किए गए वर्कअराउंड का उपयोग करें।

https://supportportal.juniper.net/s/article/2023-08-Out-of-Cycle-Security-Bulletin-Junos-OS-SRX-Series-and-EX-Series-Multiple-vulnerabilities-in-J-Web-can-be-combined-to-allow-a-preAuth-Remote-Code-Execution?language=en_US