最后更新于2023年8月31日星期四20:26:07 GMT

2023年8月17日，瞻博网络 发布了一份带外咨询 在SRX和EX系列设备上影响Junos操作系统的四个不同cve上:

CVE-2023-36846影响SRX系列

瞻博网络SRX系列上的Junos操作系统存在一个缺少关键功能认证的漏洞，允许用户进行未经认证的操作, 基于网络的攻击者对文件系统完整性的影响有限. 使用不需要身份验证的特定请求, 攻击者可以通过J-Web上传任意文件, 导致文件系统的某一部分失去完整性, 这可能允许链接到其他漏洞.

CVE-2023-36844影响EX系列

Juniper Networks在EX系列上的Junos系统的J-Web中存在PHP外部变量修改漏洞, 基于网络的攻击者控制某些重要的环境变量. 利用精心设计的请求，攻击者能够修改某些PHP环境变量. 这将导致部分完整性的丧失，从而可能导致链接到其他漏洞.

CVE-2023-36847影响EX系列

瞻博网络Junos OS在EX系列上的关键功能缺失认证漏洞允许未经认证, 基于网络的攻击者对文件系统完整性的影响有限. 使用不需要身份验证的特定请求, 攻击者可以通过J-Web上传任意文件, 导致文件系统的某一部分失去完整性, 这可能允许链接到其他漏洞.

CVE-2023-36845影响EX和SRX系列

当链接, 这些漏洞允许未经身份验证的用户将任意文件上传到JunOS文件系统，然后执行该文件. 目前还不清楚哪些问题需要链接在一起——我们的研究团队能够成功地执行一个攻击链, 但我们没有确定确切的CVE映射. 安全组织Shadowserver 发布在社交媒体上 本周，他们发现了自8月25日以来针对“CVE-2023-36844及其朋友”的攻击尝试.

进一步的上下文

平台缓解使得执行任意二进制文件变得困难，但是 公开概念证明 和相关的 来自瞭望塔的报道 演示如何在根用户的上下文中执行任意PHP代码. 尤其是攻击链 不 允许操作系统级的代码执行, 它让攻击者在BSD监狱中执行代码, 它是一个简化的环境，设计用于运行单个应用程序(在本例中是HTTP服务器). 监狱有自己的一组用户和自己的根帐户，这些帐户仅限于监狱环境, 根据BSD文档.

影响Juniper EX系列(交换机)和SRX系列(防火墙)的漏洞. 问题出在管理界面上, 这些设备往往有访问公司网络的特权, 甚至把代码执行限制在BSD监狱里, 成功利用可能会为攻击者提供一个转向组织内部网络的机会.

瞻博软件被广泛部署，Shodan就是一个例子 大约10000台设备 面对互联网，尽管我们不能肯定地说有多少人是脆弱的. 受影响的Juniper服务为J-Web，该服务默认在80和443端口上开启. 来自Juniper的cve被评为CVSS 5.3分，但咨询显示CVSS综合得分为9分.8. 这发出了一个混淆的信息，可能会让用户误认为这些漏洞的影响只是中等严重程度, 事实并非如此.

不能应用补丁的组织应该禁用J-Web或限制仅对可信主机的访问. 请看瞻博网络 咨询 了解更多信息.

受影响的产品

CVE-2023-36845和CVE-2023-36846对以下版本的SRX系列的Juniper Networks Junos OS有影响:

  • 所有版本之前的20.4R3-S8
  • 21.1版本21.1R1及以后的版本
  • 21.21之前的2个版本.2R3-S6
  • 21.21之前的3个版本.3R3-S5
  • 21.21之前的4个版本.4R3-S5
  • 22.22之前的1个版本.1R3-S3
  • 22.22之前的2个版本.2R3-S2
  • 22.22之前的3个版本.3R2-S2, 22.3R3
  • 22.22之前的4个版本.4R2-S1, 22.4R3

CVE-2023-36844和CVE-2023-36847漏洞影响Juniper Networks的以下EX系列版本的Junos操作系统:

  • 所有版本之前的20.4R3-S8
  • 21.1版本21.1R1及以后的版本
  • 21.21之前的2个版本.2R3-S6
  • 21.21之前的3个版本.3R3-S5
  • 21.21之前的4个版本.4R3-S4
  • 22.22之前的1个版本.1R3-S3
  • 22.22之前的2个版本.2R3-S1
  • 22.22之前的3个版本.3R2-S2, 22.3R3
  • 22.22之前的4个版本.4R2-S1, 22.4R3

该漏洞影响J-Web组件, 哪一个。, 默认情况下, 监听管理接口的80和443端口.

缓解指导

组织应该尽快修补他们的设备. 那些不能应用补丁的应该禁用J-Web或限制仅对受信任主机的访问. 请看瞻博网络 咨询 了解更多信息.

Rapid7客户

InsightVM和expose客户可以通过8月17日发布的内容发布中发布的漏洞检查来评估他们对所有四个cve的暴露程度.