CVE-2023-36844
Juniper Junos OS EX Series PHP External Variable Modification Vulnerability
Beschreibung
CVE-2023-36844 ist eine Schwachstelle vom Typ PHP External Variable Modification in der J-Web-Oberfläche von Juniper Networks Junos OS auf der EX-Serie. Die Sicherheitslücke ermöglicht es einem nicht authentifizierten, netzwerkbasierten Angreifer, bestimmte wichtige PHP-Umgebungsvariablen zu manipulieren. Durch das Senden einer speziell präparierten Anfrage kann ein Angreifer PHP-Umgebungsvariablen verändern, was zu einem teilweisen Integritätsverlust führt und die Verkettung mit weiteren Schwachstellen ermöglichen kann. CVE-2023-36844 wurde von der CISA in den KEV-Katalog aufgenommen, was die aktive Ausnutzung in freier Wildbahn bestätigt. Mit einem EPSS-Score von 94,3 % gehört diese Junos OS-Schwachstelle trotz ihres moderaten CVSS-Scores von 5.3 zu den am häufigsten angegriffenen Sicherheitslücken.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:NIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| juniper | junos | < 20.4; 20.4; 21.1; 21.2; 21.3; 21.4; 22.1; 22.2; 22.3; 22.4; 23.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
Referenzen
- http://packetstormsecurity.com/files/174865/Juniper-SRX-Firewall-EX-Switch-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://supportportal.juniper.net/JSA72300(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-36844(US Government Resource)
Schwachstellentyp
CWE-473: PHP External Variable Modification
Bei CVE-2023-36844 ermöglicht die J-Web-Oberfläche von Junos OS auf EX-Geräten die externe Modifikation von PHP-Variablen. Ein Angreifer kann durch manipulierte HTTP-Anfragen kritische PHP-Umgebungsvariablen überschreiben und so das Verhalten der PHP-Laufzeitumgebung beeinflussen, was die Grundlage für weiterführende Angriffe bildet.
Mehr erfahren: CWE-473 — PHP External Variable Modification
Auswirkungsanalyse
CVE-2023-36844 ist über das Netzwerk ausnutzbar, ohne dass physischer Zugriff auf das Juniper-Gerät erforderlich ist. Die Angriffskomplexität ist gering, es werden keine Authentifizierung und keine Benutzerinteraktion benötigt — ein Angreifer kann die Schwachstelle ohne jegliche Voraussetzungen ausnutzen. Integrität (Niedrig): Die direkte Auswirkung der Schwachstelle beschränkt sich auf einen teilweisen Integritätsverlust durch die Manipulation von PHP-Umgebungsvariablen. Vertraulichkeit und Verfügbarkeit sind nicht direkt betroffen. Obwohl der CVSS-Score von 5.3 (MEDIUM) die isolierte Schwachstelle als moderat einstuft, liegt die eigentliche Gefahr in der Verkettung mit weiteren Schwachstellen wie CVE-2023-36845, CVE-2023-36846 und CVE-2023-36847, die gemeinsam eine vollständige Remote Code Execution ermöglichen können. Der EPSS-Score von 94,3 % (99,9. Perzentil) bestätigt die extrem hohe Ausnutzungswahrscheinlichkeit und zeigt, dass diese Schwachstelle aktiv in Exploit-Ketten verwendet wird.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist verfügbar für CVE-2023-36844 über Packet Storm Security, der eine Remote Code Execution auf Juniper SRX Firewalls und EX Switches demonstriert. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und damit die aktive Ausnutzung in freier Wildbahn bestätigt — die Behebungsfrist war der 17. November 2023. Der EPSS-Score von 94,3 % (99,9. Perzentil) zeigt eine nahezu sichere Ausnutzungsaktivität an. Die Schwachstelle wird typischerweise in Kombination mit weiteren Junos-OS-Schwachstellen (insbesondere CVE-2023-36845) in einer Exploit-Kette verwendet, um von der Variablenmanipulation zur vollständigen Codeausführung zu gelangen.
Behebung
- Junos OS auf eine gepatchte Version aktualisieren: Gemäß der KEV-Anweisung der CISA umgehend auf eine der folgenden Versionen oder höher aktualisieren: 20.4R3-S9, 21.2R3-S7, 21.3R3-S5, 21.4R3-S5, 22.1R3-S4, 22.2R3-S2, 22.3R3-S1, 22.4R2-S2/22.4R3 oder 23.2R1-S1/23.2R2. Version 21.1 ist End-of-Life und muss auf einen unterstützten Release migriert werden.
- J-Web-Zugriff einschränken oder deaktivieren: Deaktivieren Sie die J-Web-Oberfläche, wenn sie nicht zwingend benötigt wird. Ist eine Deaktivierung nicht möglich, beschränken Sie den Zugriff auf vertrauenswürdige Management-Netzwerke über Firewall-Filter auf dem Gerät selbst.
- Netzwerksegmentierung für Management-Schnittstellen: Stellen Sie sicher, dass die J-Web-Oberfläche nicht aus dem Internet erreichbar ist. Verwenden Sie Out-of-Band-Management-Netzwerke für die Administration von Juniper-Geräten.
- Protokolle auf Exploit-Versuche überwachen: Analysieren Sie die Webserver-Logs der J-Web-Oberfläche auf verdächtige Anfragen, die PHP-Variablen manipulieren. Achten Sie insbesondere auf ungewöhnliche PHPRC-Parameter in HTTP-Anfragen.
- Ganzheitliche Absicherung der PHP-Umgebung: Stellen Sie sicher, dass PHP-Konfigurationen auf den Juniper-Geräten die externe Modifikation von Umgebungsvariablen unterbinden und dass alle verwandten Schwachstellen (CVE-2023-36845, CVE-2023-36846, CVE-2023-36847) ebenfalls gepatcht sind.
Technische Details
CVE-2023-36844 basiert auf einer PHP External Variable Modification (CWE-473) in der J-Web-Oberfläche von Juniper Networks Junos OS auf EX-Geräten. Die Schwachstelle ermöglicht es einem Angreifer, über speziell präparierte HTTP-Anfragen kritische PHP-Umgebungsvariablen zu überschreiben, ohne dass eine Authentifizierung erforderlich ist. Gemäß dem CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N) ist die Schwachstelle zwar über das Netzwerk ohne jegliche Voraussetzungen ausnutzbar, der direkte Schaden beschränkt sich jedoch auf einen teilweisen Integritätsverlust. Die eigentliche Gefährlichkeit ergibt sich aus der Möglichkeit der Verkettung: Durch die Manipulation von PHP-Umgebungsvariablen kann ein Angreifer die PHP-Konfiguration zur Laufzeit verändern und damit die Voraussetzungen für die Ausnutzung weiterer Schwachstellen schaffen, die dann zur vollständigen Remote Code Execution führen. Der auf Packet Storm Security veröffentlichte Exploit kombiniert mehrere dieser Schwachstellen zu einem funktionsfähigen Angriff auf Juniper EX Switches und SRX Firewalls.
Häufig gestellte Fragen
Wird CVE-2023-36844 aktiv ausgenutzt?
Ja, die CISA hat CVE-2023-36844 in den KEV-Katalog aufgenommen und damit die aktive Ausnutzung bestätigt. Die Behebungsfrist war der 17. November 2023. Öffentlicher Exploit-Code ist über Packet Storm Security verfügbar, und die Schwachstelle wird typischerweise in Kombination mit weiteren Junos-OS-Schwachstellen ausgenutzt.
Welche Produkte sind von CVE-2023-36844 betroffen?
Betroffen ist Juniper Networks Junos OS auf der EX-Serie in zahlreichen Versionen: alle Versionen vor 20.4R3-S9, 21.1R1 und später (End-of-Life), sowie Versionen vor 21.2R3-S7, 21.3R3-S5, 21.4R3-S5, 22.1R3-S4, 22.2R3-S2, 22.3R3-S1, 22.4R2-S2/22.4R3 und 23.2R1-S1/23.2R2. Die Schwachstelle betrifft die J-Web-Oberfläche dieser Geräte.
Wie behebe ich CVE-2023-36844?
Aktualisieren Sie Junos OS auf eine gepatchte Version gemäß dem Juniper Security Advisory JSA72300. Deaktivieren oder beschränken Sie den Zugriff auf die J-Web-Oberfläche als sofortige Gegenmaßnahme. Weitere Details finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2023-36844?
Der CVSS-Score von 5.3 (MEDIUM) bewertet die isolierte Schwachstelle als moderat. Allerdings liegt der EPSS-Score bei 94,3 % (99,9. Perzentil), was eine extrem hohe Ausnutzungswahrscheinlichkeit anzeigt. Die eigentliche Gefahr liegt in der Verkettung mit weiteren Junos-OS-Schwachstellen, die zusammen eine kritische Remote Code Execution ermöglichen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.