Обход аутентификации в J-Web Junos позволяет выполнить код без учётных данных

Веб-интерфейс J-Web в Junos OS и Junos OS Evolved пропускает запрос без проверки учётных данных. Атакующий без логина запускает на устройстве программы с повышенными правами. Уязвимость затрагивает маршрутизаторы и коммутаторы с включённым веб-управлением. Вместе с ней Juniper закрыла ещё две уязвимости Junos с удалённым доступом.

Запрос к J-Web без проверки прав и подставной DHCP-ответ

При этом J-Web создаёт наибольший риск, потому что атака не требует ни логина, ни действий пользователя. Запрос идёт по сети, сложность низкая. Записи об этих уязвимостях собраны в Банке данных угроз безопасности информации (BDU): BDU:2026-17894, BDU:2026-17893 и BDU:2026-17895. Оценка BDU для J-Web - 10,0 по шкале CVSS, у Juniper - 9,8. CVSS - шкала опасности уязвимости от 0 до 10.

Запрос к J-Web без проверки учётных данных

Кроме того, J-Web остаётся веб-интерфейсом управления устройствами Junos. Ошибка в процедуре аутентификации позволяет обойти вход и запустить CGI-сценарий. CGI - общий шлюзовый интерфейс, механизм запуска программ через веб-сервер. Сценарий получает повышенные привилегии, поэтому атакующий действует на уровне администратора. Уязвимость работает только при включённом веб-управлении.

Поэтому производитель выпустил исправления сразу для двух веток. Для Junos OS актуальны релизы 26.4R1 и 25.4R2, а также пересобранные 23.2R2-S7.7, 23.4R2-S8.13 и 24.2R2-S5.5. Для Junos OS Evolved нужны 26.4R1-EVO и 25.4R2-EVO. Обходных мер нет, поэтому остаётся обновление. Случаев эксплуатации в реальных атаках Juniper не приводит.

Подставной DHCP-ответ в демоне bootzd

Если смотреть на вторую уязвимость, она кроется в демоне автоматической настройки bootzd. bootzd - служебная программа начальной конфигурации Junos OS Evolved. Демон принимает DHCP-ответы и настраивает устройство без участия администратора. Через подставной ответ атакующий внедряет команды оболочки.

В результате атака требует присутствия в соседнем сегменте сети, то есть в управляющем сегменте. Учётные данные не нужны, действия пользователя тоже. Команды выполняются с правами root, то есть с максимальными правами в системе. Затронуты платформы PTX под управлением Junos OS Evolved. Juniper оценила уязвимость в 8,8 по CVSS 3.1, BDU - в 9,6.

Однако исправления уже вышли в 26.4R1-EVO, 26.2R2-EVO и 25.4R2-EVO. Ранние ветки получили пересобранные сборки, включая 23.2R2-S7.7-EVO и 24.2R2-S5.6-EVO. Обходных мер вендор не предложил. Реального использования ошибки пока не зафиксировано.

Переполнение буфера в Secure Vector Routing

Если включён Secure Vector Routing, обработчик пакетов переполняет буфер в динамической памяти. SVR - способ маршрутизации трафика между филиалами через защищённые туннели. Сбой возникает при разборе искажённых IPv4-пакетов. В итоге падает процесс пересылки пакетов.

Чтобы вызвать сбой, достаточно отправить такой пакет на интерфейс с включённым SVR. Аутентификация не нужна, участие пользователя тоже. Помимо отказа в обслуживании, атакующий может повлиять на конфиденциальность и целостность данных. Затронуты маршрутизаторы SRX Series. Juniper оценила уязвимость в 9,8 по CVSS 3.1, BDU - в 10,0.

Хотя обходных мер нет, исправления доступны в 26.4R1 и 25.4R2. Ветки 23.2, 23.4 и 24.2 получили пересобранные сборки 23.2R2-S7.7, 23.4R2-S8.13 и 24.2R2-S5.5. Сведения об эксплуатации в реальных атаках вендор не приводит.

Поэтому после обновления стоит проверить конфигурацию устройств. Веб-управление имеет смысл отключить там, где оно не нужно. Управляющий сегмент сети держат отдельно от пользовательских подсетей. Кроме того, SVR включают только на доверенных интерфейсах.

Запрос к J-Web без проверки прав и подставной DHCP-ответ

Запрос к J-Web без проверки учётных данных

Подставной DHCP-ответ в демоне bootzd

Переполнение буфера в Secure Vector Routing

Ссылки