CVE-2023-36844 , CVE-2023-36845 , CVE-2023-36846 , CVE-2023-36847

CVE [CVE-2023-36844, CVE-2023-36845, CVE-2023-36846, CVE-2023-36847] を連鎖させ、Juniper JunOSのSRXおよびEXシリーズ製品でリモートコード実行を実現するための概念実証（PoC）を @watchTowr が開発しました。

セキュリティ研究については watchTowr Labs チームをフォローしてください

• https://labs.watchtowr.com/
• https://twitter.com/watchtowrcyber
• https://twitter.com/alizthehax0r

技術的分析

watchTowr は、これらの脆弱性の再現、連鎖、悪用について詳細に調査し、その内容は以下で公開されています: https://labs.watchtowr.com/cve-2023-36844-and-friends-rce-in-juniper-firewalls/

概要

1. 認証前のアップロード脆弱性を利用して、ランダム化されたファイル名で任意のPHPファイルを制限されたディレクトリにアップロードできます。
2. 同じ脆弱性のある関数を使用して、auto_prepend_file ディレクティブを使ってステップ1のPHPファイルを指し示しロードするPHP設定ファイル（.ini）をアップロードします。
3. すべての環境変数はHTTPリクエストを介して設定可能であるため、環境変数 PHPRC を上書きしてステップ2のPHP設定ファイルをロードし、ステップ1で宣言されたPHP関数の実行をトリガーします。

使用方法

PHP関数はフラグ —payload で指定できますが、デフォルトでは php_uname() が設定されています。

python watchtowr-vs-junos_juniper_2023-08-25.py --url http://localhost

python watchtowr-vs-junos_juniper_2023-08-25.py --url http://localhost --payload "get_current_user()"

緩和策

JunOSの最新バージョンにアップデートし、かつ/またはJuniperが提供するパッチを適用してください。これらの措置が不可能な場合は、Juniperが提供する回避策を活用してください。

https://supportportal.juniper.net/s/article/2023-08-Out-of-Cycle-Security-Bulletin-Junos-OS-SRX-Series-and-EX-Series-Multiple-vulnerabilities-in-J-Web-can-be-combined-to-allow-a-preAuth-Remote-Code-Execution?language=en_US