Εκτιμάται ότι 12.000 τείχη προστασίας SRX και διακόπτες EX της Juniper είναι ευάλωτα σε ένα σφάλμα απομακρυσμένης εκτέλεσης κώδικα χωρίς αρχείο, το οποίο οι επιτιθέμενοι μπορούν να εκμεταλλευτούν χωρίς έλεγχο ταυτότητας.
Τον Αύγουστο, η Juniper αποκάλυψε πολυάριθμες ευπάθειες “PHP environment variant manipulation” (CVE-2023-36844/CVE-2023-36845) και “Missing Authentication for Critical Function” (CVE-2023-36846/CVE-2023-36847), οι οποίες από μόνες τους είχαν μόνο μια “μεσαία” βαθμολογία σοβαρότητας 5,3.
Ωστόσο, όταν αυτές οι ευπάθειες συνδυάστηκαν μεταξύ τους, έγιναν ένα κρίσιμο σφάλμα απομακρυσμένης εκτέλεσης κώδικα με βαθμολογία 9,8.
Σε μια μεταγενέστερη τεχνική έκθεση, η watchTowr Labs δημοσίευσε ένα PoC που συνδύαζε τις ατέλειες CVE-2023-36845 και CVE-2023-36846, επιτρέποντας στους ερευνητές να εκτελέσουν κώδικα εξ αποστάσεως ανεβάζοντας δύο αρχεία σε μια ευάλωτη συσκευή.
Σήμερα, ο Jacob Baines, ερευνητής ευπαθειών του VulnCheck, κυκλοφόρησε ένα άλλο PoC exploit που χρησιμοποιεί μόνο το CVE-2023-36845, παρακάμπτοντας την ανάγκη μεταφόρτωσης αρχείων, ενώ εξακολουθεί να επιτυγχάνει απομακρυσμένη εκτέλεση κώδικα.
Στο πλαίσιο της έκθεσης του Baines, ο ερευνητής μοιράστηκε έναν δωρεάν σαρωτή στο GitHub για να βοηθήσει στον εντοπισμό ευάλωτων αναπτύξεων, δείχνοντας χιλιάδες ευάλωτες συσκευές εκτεθειμένες στο διαδίκτυο.
Το νέο exploit
Ο Baines λέει ότι αγόρασε ένα παλιό τείχος προστασίας Juniper SRX210 για να δοκιμάσει την εκμετάλλευση, αλλά διαπίστωσε ότι η συσκευή του δεν διέθετε τη λειτουργικότητα do_fileUpload() που απαιτείται για τη μεταφόρτωση αρχείων στη συσκευή.
Αυτό ουσιαστικά έσπασε την αλυσίδα εκμετάλλευσης του watchTowr, αναγκάζοντας τον ερευνητή να δει αν υπήρχε άλλος τρόπος να επιτύχει απομακρυσμένη εκτέλεση κώδικα.
Ο Baines διαπίστωσε ότι θα μπορούσε να παρακάμψει την ανάγκη να φορτώσει δύο αρχεία στους διακομιστές-στόχους χειραγωγώντας τις μεταβλητές περιβάλλοντος.
Ο διακομιστής Appweb του τείχους προστασίας της Juniper επεξεργάζεται τα αιτήματα HTTP του χρήστη μέσω stdin κατά την εκτέλεση ενός σεναρίου CGI.
Εκμεταλλευόμενοι αυτό, οι επιτιθέμενοι μπορούν να ξεγελάσουν το σύστημα ώστε να αναγνωρίσει ένα ψευδο-“αρχείο”, /dev/fd/0, και προσαρμόζοντας τη μεταβλητή περιβάλλοντος PHPRC και την αίτηση HTTP, μπορούν να εμφανίσουν ευαίσθητα δεδομένα.
Στη συνέχεια, το VulnCheck αξιοποίησε τα χαρακτηριστικά ‘auto_prepend_file’ και ‘allow_url_include’ της PHP για να εκτελέσει αυθαίρετο κώδικα PHP μέσω του πρωτοκόλλου data:// χωρίς να φορτώσει κανένα αρχείο.
Τούτου λεχθέντος, η βαθμολογία σοβαρότητας του CVE-2023-36845, η οποία είναι 5,4, θα πρέπει τώρα να επανεκτιμηθεί σε μια πολύ υψηλότερη κρίσιμη βαθμολογία λόγω της ικανότητάς του να επιτύχει απομακρυσμένη εκτέλεση κώδικα χωρίς άλλα ελαττώματα.
Επιπτώσεις και κίνδυνοι
Η ευπάθεια CVE-2023-36845 επηρεάζει τις ακόλουθες εκδόσεις του Junos OS στις σειρές EX Series και SRX Series:
All versions before 20.4R3-S8
21.1 version 21.1R1 and later versions
21.2 versions before 21.2R3-S6
21.3 versions before 21.3R3-S5
21.4 versions before 21.4R3-S5
22.1 versions before 22.1R3-S3
22.2 versions before 22.2R3-S2
22.3 versions before 22.3R2-S2, 22.3R3
22.4 versions before 22.4R2-S1, 22.4R3
Ο προμηθευτής κυκλοφόρησε ενημερώσεις ασφαλείας που αντιμετώπισαν την ευπάθεια στις 17 Αυγούστου 2023. Ωστόσο, η χαμηλή βαθμολογία σοβαρότητας που έλαβε το ελάττωμα δεν σήμανε συναγερμό στους επηρεαζόμενους χρήστες, πολλοί από τους οποίους μπορεί να επέλεξαν να αναβάλουν την εφαρμογή του.
Οι σαρώσεις δικτύου του VulnCheck έδειξαν 14.951 Juniper με εκτεθειμένες στο διαδίκτυο διεπαφές ιστού. Από ένα δείγμα 3.000 συσκευών, ο Baines διαπίστωσε ότι το 79% ήταν ευάλωτο σε αυτό το σφάλμα RCE.
Αν αυτό το ποσοστό εφαρμοστεί σε όλες τις εκτεθειμένες συσκευές, τότε έχουμε 11.800 ευάλωτες συσκευές στο διαδίκτυο.
Τέλος, η έκθεση αναφέρει ότι οι Shadowserver και GreyNoise έχουν δει επιτιθέμενους να εξετάζουν τα τελικά σημεία του Junos OS, οπότε οι χάκερς διερευνούν ήδη την ευκαιρία να αξιοποιήσουν το CVE-2023-36845 σε επιθέσεις.
Ως εκ τούτου, οι διαχειριστές της Juniper πρέπει να εφαρμόσουν αυτές τις ενημερώσεις το συντομότερο δυνατό, καθώς θα μπορούσαν να χρησιμοποιηθούν για να αποκτήσουν αρχική πρόσβαση σε εταιρικά δίκτυα.
Κυβερνοεπίθεση Στο Δικαστικό Σύστημα της Ελβετίας: Πιθανή Επίθεση Ransomware
Ένα δικαστικό σύστημα στην Ελβετία ανακοίνωσε την Τρίτη ότι έχει πληγεί από μια κυβερνοεπίθεση.
Το δικαστήριο, που βρίσκεται στη γερμανόφωνη περιοχή του Μαρτς στην κεντρική Ελβετία, εξυπηρετεί περίπου 45.000 άτομα.
Αν και η φύση της επίθεσης δεν έχει αποκαλυφθεί πλήρως, μια περιορισμένη περιγραφή στην ιστοσελίδα του δικαστηρίου υποδεικνύει ότι πιθανότατα πρόκειται για μια επίθεση ransomware. “Κλείσαμε προσωρινά ολόκληρο το πληροφορικό σύστημα για να προστατέψουμε τα δεδομένα. Προς το παρόν, δεν υπάρχει σαφής χρονικός ορίζοντας για την επαναφορά του, αλλά η διαδικασία μπορεί να διαρκέσει αρκετές ημέρες”, αναφέρει η ιστοσελίδα.
Οι τηλεφωνικές γραμμές του δικαστηρίου είναι προσωρινά εκτός λειτουργίας, αλλά προγραμματισμένες ακροάσεις αναμένεται να πραγματοποιηθούν σύμφωνα με το πρόγραμμα.
Αυτή η κυβερνοεπίθεση ακολουθεί μια παρόμοια επίθεση ransomware στη δημοτική διοίκηση του Zollikofen, προαστίου της Βέρνης, τον Νοέμβριο.
Σύμφωνα με την ελβετική εφημερίδα Inside IT, οι επιτιθέμενοι κρυπτογράφησαν τα δεδομένα διαχείρισης κατά τη διάρκεια της επίθεσης, με τις αρχές να αποσυνδέουν τα δίκτυα ως προληπτικό μέτρο.
Η κυβερνοεπίθεση μπορεί να έχει σοβαρές συνέπειες στη λειτουργία του δικαστικού συστήματος. Η διακοπή της πρόσβασης σε σημαντικά δεδομένα και αρχεία μπορεί να απειλήσει την ακεραιότητα των πληροφοριών και να δυσκολέψει την απονομή δικαιοσύνης. Αυτό μπορεί να οδηγήσει σε καθυστερήσεις ή ακόμη και ακυρώσεις δικαστικών διαδικασιών, με σοβαρές επιπτώσεις για τη δικαιοσύνη και την εμπιστοσύνη του κοινού.
Επιπλέον, μια κυβερνοεπίθεση μπορεί να προκαλέσει τη διαρροή ευαίσθητων πληροφοριών, θέτοντας σε κίνδυνο την ιδιωτικότητα και την ασφάλεια των ατόμων που συμμετέχουν σε δικαστικές διαδικασίες, με σοβαρές επιπτώσεις για τους ενδιαφερόμενους.
Ο Αλέξανδρος είναι ο ιδρυτής του hacks.gr και η κινητήρια δύναμη πίσω από το όραμά μας.
Με πολυετή εμπειρία στον κόσμο του hacking, έχει διαμορφώσει μια κοινότητα που είναι πηγή έμπνευσης και μάθησης για όλους.
Με τον προσωπικό του χαρακτήρα και την τεχνογνωσία του, έχει δημιουργήσει έναν χώρο όπου οι λάτρεις του hacking μπορούν να συναντιούνται, να μοιράζονται γνώσεις και να εξελίσσονται.
Το JoomScan είναι ένα εργαλείο ασφαλείας που χρησιμοποιείται για τον έλεγχο ευπάθειών σε ιστότοπους που χρησιμοποιούν το σύστημα διαχείρισης περιεχομένου (CMS) Joomla. Αναζητά πιθανές αδυναμίες ασφαλείας στον κώδικα του Joomla CMS και στις επεκτάσεις που χρησιμοποιούνται σε αυτόν..
Το joomscan ελέγχει για τα παρακάτω και όχι μόνο:
Ευπάθειες στην εγκατάσταση: Ελέγχει αν η εγκατάσταση του Joomla είναι ευπαθής σε επιθέσεις
Αδυναμίες ασφαλείας στις επεκτάσεις: Ελέγχει τις επεκτάσεις (plugins, components, modules) που χρησιμοποιούνται στον ιστότοπο Joomla για τυχόν ευπάθειες ασφαλείας.
Ευπάθειες SQL Injection: Ελέγχει τον κώδικα του Joomla για ευπάθειες που μπορεί να επιτρέπουν επιθέσεις SQL injection.
Ευπάθειες XSS (Cross-Site Scripting): Ελέγχει για πιθανές ευπάθειες που επιτρέπουν τις επιθέσεις Cross-Site Scripting, οι οποίες μπορούν να παρακάμψουν την ασφάλεια του ιστότοπου.
Ελέγχος αρχείων και καταλόγων: Ελέγχει τον τρόπο πρόσβασης σε αρχεία και καταλόγους στον ιστότοπο, προκειμένου να ανιχνεύσει πιθανές αδυναμίες ασφαλείας.
Αναγνώριση της έκδοσης Joomla: Βοηθά στον προσδιορισμό της έκδοσης του Joomla που χρησιμοποιείται, καθώς αυτό μπορεί να είναι κρίσιμο για την ασφάλεια.
Ακολουθήστε τα παρακάτω βήματα για να εγκαταστήσετε το JoomScan:
1) Πριν εγκαταστήσετε το JoomScan, βεβαιωθείτε ότι έχετε εγκαταστήσει την Perl, την cURL και την libwww-perl.
Αν δεν τις έχετε εγκαταστήσει ήδη, μπορείτε να το κάνετε με τις παρακάτω εντολές: sudo apt-get update sudo apt-get install perl curl libwww-perl
2)Κατεβάστε το JoomScan από το GitHub. Μπορείτε να το κάνετε με την εντολή git: git clone https://github.com/rezasp/joomscan.git
3)Μετάβαση στον κατάλογο του JoomScan: cd joomscan
4)Εκτέλεση του JoomScan:
Τώρα που βρίσκεστε στον κατάλογο του JoomScan, μπορείτε να το εκτελέσετε με την ακόλουθη εντολή:
perl joomscan.pl -u <URL-ιστότοπου>
Αντικαταστήστε <URL-ιστότοπου> με το URL του ιστότοπου Joomla που θέλετε να σαρώσετε.
Το JoomScan θα αρχίσει να σαρώνει τον ιστότοπο και θα παράγει αναφορές σχετικά με τυχόν ευπάθειες ασφαλείας που εντοπίστηκαν.
Ο Αλέξανδρος είναι ο ιδρυτής του hacks.gr και η κινητήρια δύναμη πίσω από το όραμά μας. Με πολυετή εμπειρία στον κόσμο του hacking, έχει διαμορφώσει μια κοινότητα που είναι πηγή έμπνευσης και μάθησης για όλους. Με τον προσωπικό του χαρακτήρα και την τεχνογνωσία του, έχει δημιουργήσει έναν χώρο όπου οι λάτρεις του hacking μπορούν να συναντιούνται, να μοιράζονται γνώσεις και να εξελίσσονται.
Η παραλλαγή του Mirai DDoS αυξάνει τους στόχους με 13 exploits για δρομολογητές
Ένα botnet κακόβουλου λογισμικού DDoS (distributed denial of service) που βασίζεται στο Mirai και παρακολουθείται ως IZ1H9 έχει προσθέσει δεκατρία νέα ωφέλιμα φορτία για να στοχεύσει δρομολογητές και δρομολογητές που βασίζονται σε Linux από τις εταιρείες D-Link, Zyxel, TP-Link, TOTOLINK και άλλες.
Οι ερευνητές της Fortinet αναφέρουν ότι παρατήρησαν μια κορύφωση στα ποσοστά εκμετάλλευσης γύρω στην πρώτη εβδομάδα του Σεπτεμβρίου, φτάνοντας τις δεκάδες χιλιάδες απόπειρες εκμετάλλευσης εναντίον ευάλωτων συσκευών.
Το IZ1H9 θέτει σε κίνδυνο συσκευές για να τις επιστρατεύσει στο σμήνος DDoS και στη συνέχεια εξαπολύει επιθέσεις DDoS σε συγκεκριμένους στόχους, προφανώς σε πελάτες που νοικιάζουν τη δύναμη πυρός του.
Στόχος IoT συσκευών
Όσο περισσότερες συσκευές και τρωτά σημεία στοχοποιούνται από ένα κακόβουλο λογισμικό DDoS, τόσο αυξάνεται η δυνατότητα δημιουργίας ενός μεγάλου και ισχυρού botnet, ικανού να επιφέρει μαζικά πλήγματα σε ιστότοπους.
Στην περίπτωση του IZ1H9, η Fortinet αναφέρει ότι χρησιμοποιεί exploits για τα ακόλουθα ελαττώματα, που χρονολογούνται από το 2015 έως το 2023:
Η εκστρατεία στοχεύει επίσης σε ένα απροσδιόριστο CVE που σχετίζεται με τη διαδρομή “/cgi-bin/login.cgi”, επηρεάζοντας δυνητικά τον δρομολογητή Prolink PRC2402M.
Αλυσιδωτή επίθεση
Μετά την εκμετάλλευση ενός από τα προαναφερθέντα CVEs, ένα payload IZ1H9 εισάγεται στη συσκευή που περιέχει μια εντολή για την ανάκτηση ενός προγράμματος λήψης σεναρίων shellμε όνομα “l.sh” από μια καθορισμένη διεύθυνση URL.
Κατά την εκτέλεση, το σενάριο διαγράφει τα αρχεία καταγραφής για να αποκρύψει την κακόβουλη δραστηριότητα και, στη συνέχεια, φέρνει πελάτες bot προσαρμοσμένους για διαφορετικές αρχιτεκτονικές συστημάτων.
Τέλος, το σενάριο τροποποιεί τους κανόνες iptables της συσκευής ώστε να εμποδίζει τη σύνδεση σε συγκεκριμένες θύρες και να δυσχεραίνει την αφαίρεση του κακόβουλου λογισμικού από τη συσκευή.
Έχοντας κάνει όλα τα παραπάνω, το bot εγκαθιστά επικοινωνία με τον διακομιστή C2 (command and control) και περιμένει την εκτέλεση εντολών.
Οι υποστηριζόμενες εντολές αφορούν τον τύπο της επίθεσης DDoS που θα εξαπολύσει, συμπεριλαμβανομένων των UDP, UDP Plain, HTTP Flood και TCP SYN.
Η Fortinet αναφέρει επίσης ότι το IZ1H9 διαθέτει ένα τμήμα δεδομένων με σκληρά κωδικοποιημένα διαπιστευτήρια που χρησιμοποιούνται για επιθέσεις brute-force.
Αυτές οι επιθέσεις μπορεί να είναι χρήσιμες για τη διάδοση σε παρακείμενες συσκευές ή για τον έλεγχο ταυτότητας σε συσκευές IoT για τις οποίες δεν υπάρχει λειτουργικό exploit.
Συνιστάται στους κατόχους συσκευών IoT να χρησιμοποιούν ισχυρά διαπιστευτήρια χρήστη διαχειριστή, να τις ενημερώνουν στην τελευταία διαθέσιμη έκδοση υλικολογισμικού και, αν είναι δυνατόν, να μειώνουν την έκθεσή τους στο δημόσιο διαδίκτυο.
