A Juniper anunciou quatro erros de média gravidade em seus switches EX e firewalls SRX, e lançou correções de segurança duas semanas atrás.
As falhas de segurança foram encontradas na interface J-Web baseada em PHP que administradores utilizam para gerir e configurar os dispositivos em suas redes.
"Com um pedido específico que não precisa de autenticação, um invasor é capaz de fazer upload de arquivos via J-Web, levando à perda de integridade de uma parte específica do sistema de arquivos, o que pode permitir a ligação a outras vulnerabilidades", disse a empresa em um comunicado.
"Ao ligar a exploração dessas vulnerabilidades, um invasor baseado em rede pode executar remotamente código nos dispositivos."
Por causa desses bugs, pesquisadores de segurança do watchTowr Labs desenvolveram e lançaram uma exploração de prova de conceito (PoC) que encadeia as falhas do firewall SRX, uma autenticação ausente para vulnerabilidade de função crítica (
CVE-2023-36846
) e um erro de modificação de variável externa do PHP (
CVE-2023-36845
).
Eles também publicaram um aprofundamento técnico descrevendo a análise de vulnerabilidade e processo de desenvolvimento de PoC.
Conforme revelado, a falha de upload de pré-autenticação no
CVE-2023-36846
permite o upload sem autorização de um arquivo PHP para um diretório restrito usando nomes aleatórios.
Um arquivo de configuração PHP também é carregado para carregar o primeiro arquivo por meio de 'auto_prepend_file' na segunda etapa.
A manipulação de variáveis de ambiente solicitadas por HTTP, como PHPRC, explorando o erro
CVE-2023-36845
ajuda a carregar o arquivo de configuração, acionando a execução do arquivo PHP carregado na primeira etapa.
Embora a Juniper não tenha fornecido nenhuma informação sobre a exploração ativa das falhas de segurança, o watchTowr Labs avalia que, em breve, os invasores devem começar a atacar em larga escala os dispositivos que não foram corrigidos.
Veja isso: Erro permite execução remota de código no SBR da Juniper.
Incidente da Juniper de novo no foco do Congresso dos EUA.
Os administradores são aconselhados a aplicar as correções da Juniper ou atualizar o JunOS para a versão mais recente, ou, pelo menos, aplicar as medidas de mitigação sugeridas pelo fornecedor o mais rápido possível.
"Dada a simplicidade da exploração e a posição privilegiada que os dispositivos JunOS ocupam em uma rede, não ficaríamos surpresos em ver uma exploração em grande escala", alertaram os pesquisadores.
"Aqueles que executam um dispositivo afetado são orientados a atualizar para uma versão corrigida o mais rápido possível, ou desativar o acesso à interface J-Web, se possível."
Em junho, a Agência de Segurança Cibernética e Infraestrutura (CISA) dos EUA emitiu a primeira diretiva operacional vinculativa (BOD) deste ano, ordenando que as agências federais americanas protegessem equipamentos de rede expostos à internet ou mal configurados, como o firewall e dispositivos de switch da Juniper, dentro de duas semanas após a descoberta.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...