De nouvelles recherches ont révélé que près de 12 000 pare-feu Juniper exposés à Internet sont vulnérables à une faille d’exécution de code à distance récemment révélée.
VulnCheck, qui découvert un nouvel exploit pour CVE-2023-36845, a déclaré que cela pourrait être exploité par un « attaquant non authentifié et distant pour exécuter du code arbitraire sur les pare-feu Juniper sans créer de fichier sur le système ».
CVE-2023-36845 fait référence à une faille de gravité moyenne dans le composant J-Web de Junos OS qui pourrait être utilisée par un acteur malveillant pour contrôler certaines variables d’environnement importantes. Il a été corrigé par Juniper Networks le mois dernier aux côtés de CVE-2023-36844, CVE-2023-36846 et CVE-2023-36847 dans une mise à jour hors cycle.
Un exploit de preuve de concept (PoC) ultérieur conçu par watchTowr a combiné CVE-2023-36846 et CVE-2023-36845 pour télécharger un fichier PHP contenant un shellcode malveillant et réaliser l’exécution de code.
Le dernier exploit, en revanche, affecte les systèmes plus anciens et peut être écrit à l’aide d’une seule commande cURL. Plus précisément, il s’appuie uniquement sur CVE-2023-36845 pour atteindre le même objectif.
Ceci, à son tour, est accompli en utilisant le flux d’entrée standard (alias entrée standard) pour définir le PHPRC variable d’environnement à « /dev/fd/0 » via une requête HTTP spécialement conçue, transformant efficacement « /dev/fd/0 » en un fichier de fortune et divulguant des informations sensibles.
L’exécution de code arbitraire est ensuite réalisée en tirant parti de PHP fichier_prepend_auto et Allow_url_include options en conjonction avec le data:// wrapper de protocole.
L’identité est le nouveau point de terminaison : maîtriser la sécurité SaaS à l’ère moderne
Plongez dans l’avenir de la sécurité SaaS avec Maor Bin, PDG d’Adaptive Shield. Découvrez pourquoi l’identité est le nouveau point final. Réservez votre place maintenant.
« Les pare-feu sont des cibles intéressantes pour APT car ils facilitent la connexion avec le réseau protégé et peuvent servir d’hôtes utiles pour l’infrastructure C2 », a déclaré Jacob Baines. « Quiconque possède un pare-feu Juniper non corrigé devrait l’examiner pour détecter tout signe de compromission. »
Depuis, Juniper divulgué qu’il n’est pas au courant d’un exploit réussi contre ses clients, mais a averti qu’il a détecté des tentatives d’exploitation dans la nature, ce qui rend impératif que les utilisateurs appliquent les correctifs nécessaires pour atténuer les menaces potentielles.