CVE-2023-36846
Juniper Junos OS SRX Series Missing Authentication for Critical Function Vulnerability
Beschreibung
CVE-2023-36846 ist eine Schwachstelle vom Typ Missing Authentication for Critical Function in der J-Web-Oberfläche von Juniper Networks Junos OS auf der SRX-Serie. Durch eine fehlende Authentifizierung bei einer kritischen Funktion kann ein nicht authentifizierter, netzwerkbasierter Angreifer über manipulierte Anfragen an user.php beliebige Dateien auf das Gerät hochladen. CVE-2023-36846 führt zu einem teilweisen Integritätsverlust des Dateisystems und kann zur Verkettung mit weiteren Schwachstellen verwendet werden. Die CISA hat diese Sicherheitslücke in den KEV-Katalog aufgenommen, was die aktive Ausnutzung in freier Wildbahn bestätigt. Mit einem EPSS-Score von 94,2 % gehört diese Junos OS-Schwachstelle trotz ihres moderaten CVSS-Scores von 5.3 zu den am häufigsten angegriffenen Sicherheitslücken.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| juniper | junos | < 20.4; 20.4; 21.1; 21.2; 21.3; 21.4; 22.1; 22.2; 22.3; 22.4 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
Referenzen
- https://supportportal.juniper.net/JSA72300(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-36846(US Government Resource)
Schwachstellentyp
CWE-306: Missing Authentication for Critical Function
Bei CVE-2023-36846 fehlt in der J-Web-Oberfläche von Junos OS auf SRX-Geräten die Authentifizierung für eine kritische Upload-Funktion (user.php). Dadurch kann ein nicht authentifizierter Angreifer über das Netzwerk beliebige Dateien auf das Dateisystem des Geräts hochladen, ohne sich zuvor anmelden zu müssen.
Mehr erfahren: CWE-306 — Missing Authentication for Critical Function
Auswirkungsanalyse
CVE-2023-36846 ist über das Netzwerk ausnutzbar, ohne dass physischer Zugriff auf das Juniper SRX-Gerät erforderlich ist, und die Angriffskomplexität ist gering. Es werden weder Authentifizierung noch Benutzerinteraktion benötigt, sodass ein Angreifer die Schwachstelle vollständig ohne Voraussetzungen ausnutzen kann. Integrität (Niedrig): Die direkte Auswirkung beschränkt sich auf einen teilweisen Integritätsverlust durch das Hochladen beliebiger Dateien auf das Dateisystem. Vertraulichkeit und Verfügbarkeit sind nicht direkt betroffen. Obwohl der CVSS-Score von 5.3 (MEDIUM) die isolierte Schwachstelle als moderat einstuft, liegt die eigentliche Gefahr in der Verkettung mit weiteren Schwachstellen wie CVE-2023-36845, die zusammen eine vollständige Remote Code Execution ermöglichen — der Datei-Upload liefert dabei den Schadcode, der über die PHP-Variable-Modification ausgeführt wird. Der EPSS-Score von 94,2 % (99,9. Perzentil) bestätigt die extrem hohe Ausnutzungswahrscheinlichkeit und zeigt, dass diese Schwachstelle aktiv in Exploit-Ketten verwendet wird.
Exploit-Reifegrad
Die CISA hat CVE-2023-36846 in den KEV-Katalog aufgenommen und damit die aktive Ausnutzung in freier Wildbahn bestätigt — die Behebungsfrist war der 17. November 2023. Obwohl in den verfügbaren Referenzen kein separater Exploit-Code speziell für CVE-2023-36846 verlinkt ist, wird die Schwachstelle als Teil einer Exploit-Kette mit CVE-2023-36844 und CVE-2023-36845 aktiv ausgenutzt, für die öffentlicher Exploit-Code existiert. Der EPSS-Score von 94,2 % (99,9. Perzentil) zeigt eine nahezu sichere Ausnutzungsaktivität an. Die Schwachstelle ermöglicht den Upload beliebiger Dateien, die dann über die PHP External Variable Modification (CVE-2023-36845) zur Ausführung gebracht werden können, was die kombinierte Angriffskette besonders gefährlich macht.
Behebung
- Junos OS auf eine gepatchte Version aktualisieren: Gemäß der KEV-Anweisung der CISA umgehend auf eine der folgenden Versionen oder höher aktualisieren: 20.4R3-S8, 21.2R3-S6, 21.3R3-S5, 21.4R3-S5, 22.1R3-S3, 22.2R3-S2, 22.3R2-S2/22.3R3, 22.4R2-S1/22.4R3. Version 21.1 ist End-of-Life und muss auf einen unterstützten Release migriert werden. Details finden Sie im Juniper Security Advisory JSA72300.
- J-Web-Oberfläche deaktivieren oder einschränken: Deaktivieren Sie die J-Web-Oberfläche auf allen SRX-Geräten, wenn sie nicht zwingend benötigt wird. Dies unterbindet den Zugriff auf die verwundbare user.php-Funktion vollständig.
- Zugriff auf Management-Schnittstellen isolieren: Stellen Sie sicher, dass die J-Web-Oberfläche ausschließlich über ein dediziertes Out-of-Band-Management-Netzwerk erreichbar ist. Konfigurieren Sie Firewall-Filter auf dem Gerät, die den Zugriff auf die J-Web-Ports (80/443) auf autorisierte Management-IP-Adressen beschränken.
- Dateisystem auf verdächtige Uploads prüfen: Untersuchen Sie das Dateisystem der SRX-Geräte auf unbekannte oder kürzlich hochgeladene Dateien, insbesondere im Bereich der Webserver-Verzeichnisse. Analysieren Sie die Webserver-Logs auf nicht authentifizierte Anfragen an user.php.
- Verwandte Schwachstellen gleichzeitig patchen: Stellen Sie sicher, dass alle verwandten Schwachstellen (CVE-2023-36844, CVE-2023-36845, CVE-2023-36847) ebenfalls gepatcht werden, da CVE-2023-36846 als Bestandteil einer Exploit-Kette mit diesen Schwachstellen ausgenutzt wird.
Technische Details
CVE-2023-36846 basiert auf einer fehlenden Authentifizierung für eine kritische Funktion (CWE-306) in der J-Web-Oberfläche von Juniper Networks Junos OS auf SRX-Geräten. Konkret fehlt die Authentifizierungsprüfung für Anfragen an user.php, wodurch ein nicht authentifizierter Angreifer über das Netzwerk beliebige Dateien auf das Dateisystem des Geräts hochladen kann. Gemäß dem CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N) ist die Schwachstelle über das Netzwerk ohne Authentifizierung oder Benutzerinteraktion bei niedriger Komplexität ausnutzbar, wobei der direkte Schaden auf einen teilweisen Integritätsverlust begrenzt ist. Die kritische Gefahr ergibt sich aus der Kombination mit CVE-2023-36845: Durch CVE-2023-36846 lädt der Angreifer eine schadhafte PHP-Datei auf das Gerät, und über CVE-2023-36845 manipuliert er die PHPRC-Variable, sodass die hochgeladene Datei von der PHP-Laufzeitumgebung als Konfiguration geladen und der enthaltene Schadcode ausgeführt wird. Diese Verkettung verwandelt zwei moderat bewertete Schwachstellen in einen kritischen Remote-Code-Execution-Angriff.
Häufig gestellte Fragen
Wird CVE-2023-36846 aktiv ausgenutzt?
Ja, die CISA hat CVE-2023-36846 in den KEV-Katalog aufgenommen und damit die aktive Ausnutzung in freier Wildbahn bestätigt. Die Behebungsfrist war der 17. November 2023. Die Schwachstelle wird typischerweise als Teil einer Exploit-Kette zusammen mit CVE-2023-36844 und CVE-2023-36845 ausgenutzt.
Welche Produkte sind von CVE-2023-36846 betroffen?
Betroffen ist Juniper Networks Junos OS auf der SRX-Serie in zahlreichen Versionen: alle Versionen vor 20.4R3-S8, 21.1R1 und später (End-of-Life), sowie Versionen vor 21.2R3-S6, 21.3R3-S5, 21.4R3-S5, 22.1R3-S3, 22.2R3-S2, 22.3R2-S2/22.3R3 und 22.4R2-S1/22.4R3. Die Schwachstelle betrifft die J-Web-Oberfläche dieser SRX-Firewalls.
Wie behebe ich CVE-2023-36846?
Aktualisieren Sie Junos OS umgehend auf eine gepatchte Version gemäß dem Juniper Security Advisory JSA72300. Deaktivieren Sie als sofortige Gegenmaßnahme die J-Web-Oberfläche oder beschränken Sie den Zugriff auf vertrauenswürdige Management-Netzwerke. Weitere Details finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2023-36846?
Der CVSS-Score von 5.3 (MEDIUM) bewertet die isolierte Schwachstelle als moderat. Der EPSS-Score von 94,2 % (99,9. Perzentil) zeigt jedoch eine extrem hohe Ausnutzungswahrscheinlichkeit an. Die eigentliche Gefahr liegt in der Verkettung mit CVE-2023-36845, die zusammen eine kritische Remote Code Execution auf Juniper SRX-Firewalls ermöglicht.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.