CVE-2023-36844 , CVE-2023-36845 , CVE-2023-36846 , CVE-2023-36847

Доказательство концепции (PoC) для объединения CVE [CVE-2023-36844, CVE-2023-36845, CVE-2023-36846, CVE-2023-36847], разработанное @watchTowr, для достижения удалённого выполнения кода (Remote Code Execution) в Juniper JunOS на продуктах серий SRX и EX.

Следите за командой лаборатории watchTowr в наших исследованиях безопасности

• https://labs.watchtowr.com/
• https://twitter.com/watchtowrcyber
• https://twitter.com/alizthehax0r

Технический анализ

watchTowr провел глубокий анализ воспроизведения, объединения и эксплуатации этих уязвимостей, который можно найти по адресу: https://labs.watchtowr.com/cve-2023-36844-and-friends-rce-in-juniper-firewalls/

Краткое описание

1. Уязвимость загрузки до аутентификации может быть использована для загрузки произвольного PHP-файла в ограниченную директорию со случайным именем файла.
2. Используя ту же уязвимую функцию, мы загружаем PHP-конфигурационный файл (.ini), который указывает на PHP-файл из шага 1 и загружает его с помощью директивы auto_prepend_file.
3. Поскольку все переменные окружения могут быть заданы через HTTP-запросы, мы перезаписываем переменную окружения PHPRC, чтобы загрузить PHP-конфигурационный файл из шага 2 и инициировать выполнение PHP-функции, объявленной в шаге 1.

Использование

PHP-функция может быть указана с помощью флага —payload, однако по умолчанию установлено значение php_uname().

python watchtowr-vs-junos_juniper_2023-08-25.py --url http://localhost

python watchtowr-vs-junos_juniper_2023-08-25.py --url http://localhost --payload "get_current_user()"

Меры по смягчению

Обновите JunOS до последней версии и/или примените патчи, предоставленные Juniper. Если эти действия невозможны, воспользуйтесь предоставленным Juniper обходным решением.

https://supportportal.juniper.net/s/article/2023-08-Out-of-Cycle-Security-Bulletin-Junos-OS-SRX-Series-and-EX-Series-Multiple-vulnerabilities-in-J-Web-can-be-combined-to-allow-a-preAuth-Remote-Code-Execution?language=en_US