CVE-2023-36851

Juniper Junos OS

ВЫСОКАЯ ВЕРОЯТНОСТЬ
Дата обнаружения

2023-11-13

Официальное описание

Juniper Junos OS on SRX Series contains a missing authentication for critical function vulnerability that allows an unauthenticated, network-based attacker to cause limited impact to the file system integrity. With a specific request to webauth_operation.php that doesn't require authentication, an attacker is able to upload arbitrary files via J-Web, leading to a loss of integrity for a certain part of the file system, which may allow chaining to other vulnerabilities.

🛡️
Технический анализ и план устранения

Суть уязвимости

CVE-2023-36851 представляет собой критическую ошибку отсутствия проверки аутентификации (Missing Authentication for Critical Function) в компоненте J-Web операционной системы Juniper Junos OS на устройствах серии SRX.

Уязвимость содержится в скрипте webauth_operation.php. Неавторизованный злоумышленник может отправить специально сформированный HTTP-запрос к этому файлу, что позволяет загружать произвольные файлы в определенные области файловой системы. Это приводит к нарушению целостности системы и может быть использовано как начальный вектор для цепочки атак (exploit chaining) с целью получения полного контроля над устройством или выполнения произвольного кода.

Как исправить

Основным способом устранения уязвимости является обновление Junos OS до фиксированного релиза. Juniper Networks выпустила исправления для всех затронутых веток программного обеспечения.

Необходимо установить одну из следующих версий (или более поздние): * Junos OS 20.4R3-S8 * Junos OS 21.2R3-S6 * Junos OS 21.3R3-S5 * Junos OS 21.4R3-S5 * Junos OS 22.1R3-S4 * Junos OS 22.2R3-S2 * Junos OS 22.3R2-S2, 22.3R3 * Junos OS 22.4R2-S1, 22.4R3 * Junos OS 23.2R1

Для обновления используйте команду в режиме CLI:

request system software add /var/tmp/junos-install-package-name.tgz reboot

Временные меры

Если немедленное обновление невозможно, необходимо применить защитные меры для минимизации риска эксплуатации.

  1. Полное отключение интерфейса J-Web (наиболее эффективный метод):
set system services web-management http disable
set system services web-management https disable
commit
  1. Ограничение доступа к J-Web с помощью политик безопасности или фильтров брандмауэра (Stateless Firewall Filter), разрешая подключения только с доверенных административных IP-адресов:
set firewall filter MGMT_ACCESS term ALLOW_ADMIN from source-address <TRUSTED_IP_SUBNET>
set firewall filter MGMT_ACCESS term ALLOW_ADMIN from protocol tcp
set firewall filter MGMT_ACCESS term ALLOW_ADMIN from destination-port 443
set firewall filter MGMT_ACCESS term ALLOW_ADMIN then accept
set firewall filter MGMT_ACCESS term DENY_ALL then discard
set interfaces fxp0 unit 0 family inet filter input MGMT_ACCESS
commit
  1. Использование VPN для доступа к управлению устройством, исключая нахождение J-Web в открытом доступе (Internet-facing).
Рекомендации сформированы автоматически на основе баз знаний (CISA/NVD/ФСТЭК) и технической документации вендора. Всегда тестируйте патчи в песочнице перед продакшном.
← Вернуться к списку уязвимостей