Juniper SRX güvenlik duvarlarındaki güvenlik açıklarına yönelik kavram kanıtı yararlanma kodu, zincirlendiğinde kimliği doğrulanmamış saldırganların yama yapılmamış cihazlarda Juniper’in JunOS’unda uzaktan kod yürütme elde etmesine olanak tanıyan güvenlik açıkları için kamuya açıklandı.
Juniper, EX anahtarlarında ve SRX güvenlik duvarlarında dört orta önemde hata olduğunu açıkladı ve iki hafta önce güvenlik yamalarını yayınladı.
Güvenlik kusurları, yöneticilerin ağlarındaki Juniper cihazlarını yönetmek ve yapılandırmak için kullanabileceği PHP tabanlı J-Web arayüzünde bulundu.
Şirket, “Kimlik doğrulama gerektirmeyen belirli bir istekle bir saldırgan, J-Web aracılığıyla rastgele dosyalar yükleyebilir, bu da dosya sisteminin belirli bir bölümünde bütünlük kaybına yol açarak diğer güvenlik açıklarının zincirlenmesine yol açabilir” dedi. söz konusu.
“Kimliği doğrulanmamış, ağ tabanlı bir saldırgan, bu güvenlik açıklarından zincirleme şekilde yararlanarak cihazlarda uzaktan kod çalıştırabilir.”
watchTowr Labs güvenlik araştırmacıları o zamandan beri SRX güvenlik duvarı kusurlarını, kritik işlev güvenlik açığı için eksik kimlik doğrulamayı (CVE-2023-36846) ve PHP harici değişken değiştirme hatasını (CVE-) zincirleyen bir kavram kanıtlama (PoC) istismarı geliştirip yayınladı. 2023-36845).
Ayrıca güvenlik açığı analizlerini ve PoC geliştirme süreçlerini açıklayan teknik bir ayrıntılı inceleme yayınladılar.
Açıkladıkları gibi, CVE-2023-36846 ön kimlik doğrulama yükleme kusuru, bir PHP dosyasının rastgele adlar kullanılarak kısıtlı bir dizine yetkisiz olarak yüklenmesine olanak tanıyor. İkinci adımda ilk dosyayı auto_prepend_file aracılığıyla yüklemek için bir PHP yapılandırma dosyası da yüklenir.
CVE-2023-36845 hatasını kullanarak PHPRC gibi HTTP tarafından istenen ortam değişkenlerini değiştirmek, yapılandırma dosyasının yüklenmesine yardımcı olur ve ilk adımda yüklenen PHP dosyasının yürütülmesini tetikler.
Gelecek Juniper güvenlik duvarı saldırıları muhtemel
Juniper, mevcut güvenlik açıklarından aktif olarak yararlanıldığına dair herhangi bir bilgi sunmasa da watchTowr Labs, saldırganların yakında geniş çaplı saldırılarda yama yapılmadan bırakılan Juniper cihazlarını hedeflemeye başlamasını bekliyor.
Yöneticilerin Juniper yamalarını uygulamaları veya JunOS’u en son sürüme yükseltmeleri veya en azından satıcı tarafından önerilen hafifletme önlemlerini mümkün olan en kısa sürede uygulamaları tavsiye edilir.
Araştırmacılar, “Kullanımın basitliği ve JunOS cihazlarının bir ağda sahip olduğu ayrıcalıklı konum göz önüne alındığında, büyük ölçekli sömürü görmemiz bizi şaşırtmaz” diye uyardı.
“Etkilenen bir cihazı çalıştıranların ilk fırsatta yamalı sürüme güncelleme yapması ve/veya mümkünse J-Web arayüzüne erişimi devre dışı bırakması isteniyor.”
Haziran ayında CISA, ABD federal kurumlarına Juniper’in güvenlik duvarı ve anahtarlama cihazları gibi İnternet’e açık veya yanlış yapılandırılmış ağ ekipmanlarını keşiften sonraki iki hafta içinde güvenceye almalarını emreden bu yılın ilk bağlayıcı operasyonel direktifini (BOD) yayınladı.