2023 年 8 月,Juniper Networks 发布了影响 EX 和 SRX 中 J-Web 组件的远程代码执行漏洞相关信息,本次公开有 4 个漏洞,其中 CVE-2023-36845 & CVE-2023-36846 影响 SRX 系列设备,本文对这两个漏洞进行分析。
环境准备
镜像下载,这里提供 22.1R2.10 版本:https://pan.baidu.com/s/1muIiz7kkIrZA3qIV7lh13A (haxn)
部署后开机,等待系统初始化完成,使用默认用户 root:空密码 登录到后台,注意到 root 登录后会直接进入 linux shell。
先输入命令 cli
,进入控制界面,然后执行以下命令
1 | configure |
配置好后访问 IP:443 就可以看到 J-Web 登录页面,登录账户为 root:刚刚设置的密码。
CVE-2023-36846
首先来看第二个漏洞,CVE 链接:https://www.cve.org/CVERecord?id=CVE-2023-36846
根据描述可知这是一个文件上传漏洞,攻击者可以通过某个无需身份验证的接口向文件系统某位置上传文件。
SRX 的 J-Web 组件所在目录为 /packages/mnt/jweb-srxtvp-8ae76b91/jail
,这是一个 chroot 目录,J-Web 默认运行在 nobody 权限。
web 相关代码位于 html 目录下,我们将已经修复的版本和旧版本代码进行比较,排除一些无关改动之后可以定位到文件 slipstream/preferences/user.php
,列举新旧两个版本的代码如下:
1 | // new |
1 | // old |
代码中看到新版添加了两处 return,旧版本中此接口鉴权失败时只会输出一些错误信息,之后会继续向下执行,这样一个未授权的用户也可以使用接口中的主要功能。
此接口会读取用户提交的请求,当请求为 POST 时,代码会打开 /var/tmp/preference.xxx
文件,其中 xxx 为当前用户名,然后将请求体数据写入这个文件。当用户未经授权访问时,username 参数为空,代码会打开 /var/tmp/preference.
文件并写入内容。
/var/tmp
是一个临时目录,写入用户权限为 nobody 且位于 chroot 隔离环境,单纯来看这个漏洞并不能产生很大的影响。
CVE-2023-36845
CVE 链接:https://www.cve.org/CVERecord?id=CVE-2023-36845
根据描述信息来看,未授权用户通过利用此漏洞可以控制关键的环境变量,其中包括 PHP 使用的某些变量,从而导致一些问题。
前面已经对比了 PHP 代码,其中并没有和环境变量相关联的改动,考虑到 J-Web 是一种 CGI 服务结构,和环境变量有关系的逻辑大概率位于 web 服务器中。
J-Web 组件使用的 web 服务器由 appweb 修改而来,程序位于 /packages/mnt/jweb-srxtvp-8ae76b91/usr/sbin
目录。
appweb 是 Embedthis 开发的一款嵌入式 web 服务器,Embedthis 旗下还有 GoAhead 项目,也是一个比较出名的嵌入式 web 服务器。看到这些项目,首先想到 CVE-2017-17562 以及 CVE-2021-42342,这两个是 goahead 的环境变量注入漏洞,成因是代码在处理用户提交的参数时没有合理限制敏感字符,导致可以注入如 LD_PRELOAD 等关键环境变量,appweb 中可能也存在类似的问题。
appweb 在 cgiHandler.c 中包含设置 CGI 环境变量的代码片段
1 | varCount = mprGetHashLength(rx->headers) + mprGetHashLength(rx->svars) + mprGetJsonLength(rx->params); |
我们参考 appweb 源代码和 API 文档,发现有一个叫做 httpSetRouteEnvPrefix 的函数,手册中定义如下
1 | Define a prefix string for environment variables. |
使用这个 API 即可给环境变量设置前缀,但是在 httpd 程序中没有找到对此函数的引用。
从代码层面初步来看这个 httpd 可能也存在类似 goahead 的环境变量注入问题,我们可以构造 poc 进行测试,进一步确认问题是否存在。
构造测试请求如下
1 | GET /?LD_PRELOAD=/abcd HTTP/1.1 |
发送这个请求服务器会返回 502,当去除 LD_PRELOAD 参数时响应又正常。查看 httpd 的日志 (/packages/mnt/jweb-srxtvp-8ae76b91/jail/var/log/httpd-trace.log) 存在以下内容
1 | 08/23/23 16:53:41 RECV event=http.rx.request type=request method:'GET', uri:'/?LD_PRELOAD=/abcd', protocol:'1' |
说明 httpd 确实存在环境变量注入问题,可以尝试进一步利用这个漏洞。
利用思路
目前我们已经复现了这两个漏洞,现在要将它们组合起来尝试实现代码执行。
在网上查找相关思路时发现了一篇关于环境变量安全的文章:https://www.elttam.com/blog/env/#content
参考这篇文章得知 PHP 在执行时会读取一些环境变量,其中一个变量为 PHPRC,用于指定 php.ini 配置文件的路径。而 PHP 配置中又存在一个叫做 auto_prepend_file 的变量,通过此变量指定一个文件,当 PHP 执行真正的脚本之前会首先包含此文件,类似于在文件开头调用了 require(auto_prepend_file)。
所以可以先利用文件上传漏洞在 /var/tmp 构造合适的 php.ini 文件,将 auto_prepend_file 值也设置为此文件路径,然后在文件中插入一句话木马。接着利用环境变量注入漏洞,修改 PHPRC 为刚刚构造的配置文件,最后实现 require(/var/tmp/preference.),执行任意 PHP 代码。
实现代码执行只是第一步,J-Web 运行在 nobody 权限并且位于 chroot 隔离环境,还需要进一步提升权限。分析 J-Web 各个组件时发现用户登录后 session 令牌会被存放在 (chroot)/var/sess
目录下,具有一定格式。例如以下内容为 root 用户登录后产生的令牌文件:
1 | language|s:7:"english";device-hostname|s:6:"NoName";device-model|s:4:"vsrx";super-user|s:10:"super-user";lsysuser|s:0:"";tenantuser|s:0:"";super|s:5:"super";template-username|s:4:"root";username|s:4:"root";lsysname|s:0:"";tenantname|s:0:"";csrf_key|s:32:"00000000000000000000000000000000";csrf_token|s:56:"aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa==";debug-asp|s:8:"sp-0/0/0";debug-wizard-commit|b:1;jweb-authenticated|b:1;jweb-user-timeout|s:4:"1800";jweb-last-access|i:1692806139;GLOBAL_MODE|s:7:"Not set";junos-version|s:9:"22.1R2.10";isModelL2NG|b:1;jweb-commit-mode|s:12:"commit-check";TAP_MODE|b:0;SKYATP_ENABLED|b:0;DEVICE_ON_SDCLOUD|b:0;report_enabled|b:0; |
参照这种格式利用代码执行漏洞在 sess 目录下新建一个令牌,使用此令牌即可以管理员身份登录到 J-Web 后台,控制设备的大部分配置。
总结
除文中提到的思路外,还可以利用设备某些功能从 chroot 环境中逃逸出来,造成更加严重的安全风险。深入利用就留给感兴趣的朋友自行探索吧。
本次 Juniper EX 和 SRX 漏洞利用了 web 服务器环境变量问题和文件上传,实现了较为稳定的远程代码执行。漏洞危害较大,目前官方已经发布了安全补丁,建议用户及时更新。
参考文章
https://supportportal.juniper.net/JSA72300
https://www.cnblogs.com/lisenlin/p/10302318.html
https://forum.butian.net/index.php/share/1942
https://www.elttam.com/blog/env/#content
- 本文作者: CataLpa
- 本文链接: https://wzt.ac.cn/2023/08/25/juniper202308/
-
版权声明:
本作品采用知识共享署名-相同方式共享 4.0 国际许可协议进行许可。