CVE-2023-36845
Juniper Junos OS EX Series and SRX Series PHP External Variable Modification Vulnerability
Beschreibung
CVE-2023-36845 ist eine kritische Schwachstelle vom Typ PHP External Variable Modification in der J-Web-Oberfläche von Juniper Networks Junos OS auf EX- und SRX-Geräten. Durch das Senden einer manipulierten Anfrage, die die PHP-Variable PHPRC setzt, kann ein nicht authentifizierter, netzwerkbasierter Angreifer die PHP-Ausführungsumgebung verändern und beliebigen Code aus der Ferne ausführen. CVE-2023-36845 hat einen CVSS-Score von 9.8 (CRITICAL) und wurde von der CISA in den KEV-Katalog aufgenommen, was die aktive Ausnutzung in freier Wildbahn bestätigt. Mit einem EPSS-Score von 94,4 % gehört diese Junos OS-Schwachstelle zu den am intensivsten ausgenutzten Sicherheitslücken und stellt ein erhebliches Risiko für Organisationen dar, die Juniper EX Switches oder SRX Firewalls einsetzen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| juniper | junos | < 20.4; 20.4; 21.1; 21.2; 21.3; 21.4; 22.1; 22.2; 22.3; 22.4; 23.2 |
Referenzen
- http://packetstormsecurity.com/files/174865/Juniper-SRX-Firewall-EX-Switch-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/176969/Juniper-SRX-Firewall-EX-Switch-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://supportportal.juniper.net/JSA72300(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-36845(US Government Resource)
Schwachstellentyp
CWE-473: PHP External Variable Modification
Bei CVE-2023-36845 ermöglicht die J-Web-Oberfläche von Junos OS auf EX- und SRX-Geräten die externe Modifikation der PHP-Variable PHPRC. Durch das Überschreiben dieser Variable kann ein Angreifer die PHP-Laufzeitkonfiguration manipulieren, was die Injektion und Ausführung von beliebigem Code auf dem Zielsystem ermöglicht.
Mehr erfahren: CWE-473 — PHP External Variable Modification
Auswirkungsanalyse
CVE-2023-36845 ist über das Netzwerk ausnutzbar, ohne dass physischer Zugriff auf das Juniper-Gerät erforderlich ist, und die Angriffskomplexität ist gering. Es werden weder Authentifizierung noch Benutzerinteraktion benötigt, sodass ein Angreifer die Schwachstelle vollständig ohne Voraussetzungen ausnutzen kann. Vertraulichkeit (Hoch): Ein Angreifer kann auf alle auf dem Gerät gespeicherten Konfigurationsdaten, Zugangsdaten und Netzwerkinformationen zugreifen. Integrität (Hoch): Durch die Codeausführung kann der Angreifer Gerätekonfigurationen manipulieren, Backdoors installieren und den Netzwerkverkehr umleiten. Verfügbarkeit (Hoch): Die Kompromittierung kann zum vollständigen Ausfall der betroffenen Firewall oder des Switches führen und damit kritische Netzwerkinfrastruktur gefährden. Mit einem CVSS-Score von 9.8 (CRITICAL) und einem EPSS-Score von 94,4 % (99,9. Perzentil), der eine nahezu sichere Ausnutzung anzeigt, erfordert diese Schwachstelle sofortiges Handeln.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist verfügbar für CVE-2023-36845 über Packet Storm Security in zwei Veröffentlichungen: Juniper SRX Firewall / EX Switch Remote Code Execution (1) und Juniper SRX Firewall / EX Switch Remote Code Execution (2). Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und damit die aktive Ausnutzung in freier Wildbahn bestätigt — die Behebungsfrist war der 17. November 2023. Der EPSS-Score von 94,4 % (99,9. Perzentil) zeigt eine nahezu sichere Ausnutzungsaktivität an. CVE-2023-36845 wird häufig in Kombination mit CVE-2023-36844 in einer Exploit-Kette verwendet, wobei CVE-2023-36844 die Manipulation von PHP-Variablen auf EX-Geräten ermöglicht und CVE-2023-36845 die eigentliche Codeausführung auf EX- und SRX-Geräten durchführt.
Behebung
- Junos OS auf eine gepatchte Version aktualisieren: Gemäß der KEV-Anweisung der CISA umgehend auf eine der folgenden Versionen oder höher aktualisieren: 20.4R3-S9, 21.2R3-S7, 21.3R3-S5, 21.4R3-S5, 22.1R3-S4, 22.2R3-S2, 22.3R2-S2/22.3R3-S1, 22.4R2-S1/22.4R3 oder 23.2R1-S1/23.2R2. Version 21.1 ist End-of-Life und muss auf einen unterstützten Release migriert werden. Details finden Sie im Juniper Security Advisory JSA72300.
- J-Web-Oberfläche deaktivieren oder einschränken: Deaktivieren Sie die J-Web-Oberfläche auf allen EX- und SRX-Geräten, wenn sie nicht zwingend benötigt wird. Verwenden Sie stattdessen CLI-basierte Administration oder Junos Space für das Gerätemanagement.
- Zugriff auf Management-Schnittstellen isolieren: Stellen Sie sicher, dass die J-Web-Oberfläche ausschließlich über ein dediziertes Out-of-Band-Management-Netzwerk erreichbar ist. Implementieren Sie Firewall-Filter direkt auf dem Gerät, die den Zugriff auf die J-Web-Ports (80/443) auf autorisierte Management-IP-Adressen beschränken.
- Systeme auf Kompromittierung prüfen: Analysieren Sie die Webserver-Logs auf verdächtige Anfragen, die die PHPRC-Variable manipulieren. Suchen Sie nach unbekannten Dateien oder Prozessen auf den EX- und SRX-Geräten, die auf eine bereits erfolgte Kompromittierung hindeuten könnten.
- Verwandte Schwachstellen ebenfalls patchen: Stellen Sie sicher, dass alle verwandten Schwachstellen (CVE-2023-36844, CVE-2023-36846, CVE-2023-36847) gleichzeitig gepatcht werden, da diese in Exploit-Ketten kombiniert werden.
Technische Details
CVE-2023-36845 basiert auf einer PHP External Variable Modification (CWE-473) in der J-Web-Oberfläche von Juniper Networks Junos OS auf EX- und SRX-Geräten. Der Angriff erfolgt durch das Senden einer manipulierten HTTP-Anfrage, die die PHP-Umgebungsvariable PHPRC auf einen vom Angreifer kontrollierten Wert setzt, wodurch die PHP-Konfigurationsdatei (php.ini) von einem beliebigen Speicherort geladen wird. Gemäß dem CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) ist die Schwachstelle über das Netzwerk ohne Authentifizierung, Benutzerinteraktion oder besondere Bedingungen ausnutzbar. Durch die Manipulation der PHP-Laufzeitkonfiguration kann der Angreifer schädliche PHP-Erweiterungen laden oder auto_prepend_file-Direktiven setzen, die bei jeder PHP-Anfrage automatisch Schadcode ausführen. Im Unterschied zu CVE-2023-36844, die nur EX-Geräte betrifft und einen teilweisen Integritätsverlust verursacht, ermöglicht CVE-2023-36845 auf sowohl EX- als auch SRX-Geräten die vollständige Remote Code Execution mit maximaler Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit.
Häufig gestellte Fragen
Wird CVE-2023-36845 aktiv ausgenutzt?
Ja, die CISA hat CVE-2023-36845 in den KEV-Katalog aufgenommen und damit die aktive Ausnutzung in freier Wildbahn bestätigt. Die Behebungsfrist war der 17. November 2023. Öffentlicher Exploit-Code ist über Packet Storm Security verfügbar, und der EPSS-Score von 94,4 % zeigt eine nahezu sichere Ausnutzung an.
Welche Produkte sind von CVE-2023-36845 betroffen?
Betroffen ist Juniper Networks Junos OS auf EX-Switches und SRX-Firewalls in zahlreichen Versionen: alle Versionen vor 20.4R3-S9, 21.1R1 und später (End-of-Life), sowie Versionen vor 21.2R3-S7, 21.3R3-S5, 21.4R3-S5, 22.1R3-S4, 22.2R3-S2, 22.3R2-S2/22.3R3-S1, 22.4R2-S1/22.4R3 und 23.2R1-S1/23.2R2.
Wie behebe ich CVE-2023-36845?
Aktualisieren Sie Junos OS umgehend auf eine gepatchte Version gemäß dem Juniper Security Advisory JSA72300. Deaktivieren Sie als sofortige Gegenmaßnahme die J-Web-Oberfläche oder beschränken Sie den Zugriff auf vertrauenswürdige Management-Netzwerke. Weitere Details finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2023-36845?
CVE-2023-36845 ist mit einem CVSS-Score von 9.8 als CRITICAL eingestuft und ermöglicht die vollständige Remote Code Execution ohne Authentifizierung. Der EPSS-Score von 94,4 % (99,9. Perzentil) bestätigt die extrem hohe Ausnutzungswahrscheinlichkeit. Die Schwachstelle betrifft kritische Netzwerkinfrastruktur (Firewalls und Switches) und erfordert sofortiges Handeln.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.