银峰 & 思科 & Citrix & VMware | SD-WAN清静误差通告

宣布时间 2020-12-02

0x00 误差概述

克日，，，，Realmode Labs的研究职员发明了市场上排名前四的SD-WAN的产品中保存多个清静误差，，，，其厂商划分为银峰、思科、Citrix和VMware。。。。在此次发明的误差中，，，，有多个可造成远程代码执行，，，，且无需任何身份验证即可使用。。。。攻击者可以使用这些误差来阻挡或恶意指导流量，，，，甚至可导致网络中止。。。。

 

0x01 误差详情

image.png

                                                        

产品名称

CVE   ID

类   型

误差品级

远程使用

银峰SD-WAN

CVE-2020-12145

身份验证绕过

严重

是

CVE-2020-12146

路径遍历

高危

是

CVE-2020-12147

恣意SQL盘问

高危

是

Citrix SD-WAN

CVE-2020-8271

路径遍历、Shell注入

严重

是

CVE-2020-8272

身份验证绕过

高危

是

CVE-2020-8273

Shell注入

高危

是

思科Viptela vManage

 

 

CVE-2020-27128

SSRF、恣意文件写入

中危

是

CVE-2020-27129

下令注入

中危

是

CVE-2020-26073

文件读取、目录遍历

高危

是

CVE-2020-26074

权限提升

高危

否

VMware VeloCloud Orchestrator

CVE-2020-4001

身份验证绕过

中危

是

CVE-2020-3984

SQL注入

高危

是

CVE-2020-4000

目录遍历、代码执行

中危

是

 

银峰的SD-WAN中保存三个清静误差，，，，划分为CVE-2020-12145、CVE-2020-12146和CVE-2020-12147，，，，这些误差位于Orchestrator主治理界面，，，，可集中控制公司的SD-WAN拓扑。。。。攻击者可配合使用这三个误差来对SD-PWN网络举行攻击。。。。

Citrix SD-WAN以CakePHP2为框架在Apache上运行。。。。由于CakePHP2框架在处置惩罚URL时保存问题，，，，Citrix SD-WAN中心保存三个清静误差，，，，划分为CVE-2020-8271、CVE-2020-8272和CVE-2020-8273，，，，乐成使用误差的攻击者可注入shell下令，，，，最终控制整个网络。。。。

思科Viptela vManage是思科SD-WAN基础架构的中心，，，，可治理网络中所有终端。。。。由于SD-WAN设计的集中性，，，，从清静角度来看，，，，vManage上的多个误差属于单点故障。。。。

通过使用CVE-2020-27128、CVE-2020-27129、CVE-2020-26073和CVE-2020-26074，，，，攻击者能够远程执行代码来获得vManage的控制权，，，，而该终端通常托管在云情形中。。。。攻击者不需要任何设置即可使用这些误差。。。。

VMware VeloCloud Orchestrator是毗连到边沿路由器并集中控制的网络拓扑。。。。VMware VeloCloud基础架构由nginx组成，，，，其主要用作node.js效劳器的反向署理，，，，由于其接口保存清静误差，，，，划分为CVE-2020-4001、CVE-2020-3984和CVE-2020-4000。。。。攻击者可以使用这些误差修改Velocloud登录名或重置密码。。。。

 

部分误差详情如下：

银峰SD-WAN身份验证绕过误差（CVE-2020-12145）

由于对未执行身份验证确当田主机的API挪用的特殊处置惩罚保存清静问题，，，，任何以“localhost”作为其HTTP Host标头的请求都知足检查要求，，，，这容易导致身份验证绕过。。。�？？？？？？？墒褂�request.getBaseUri().getHost().equals(“localhost”)下令举行localhost检查。。。。


Citrix SD-WAN路径遍历和shell注入误差（CVE-2020-8271）

由于/collector/diagnostics/stop_ping端点读取"/tmp/pid_" . $req_id文件，，，，并在shell_exec挪用中使用其内容，，，，而没有对允许路径遍历的$req_id举行整理。。。。攻击者可以将恶意文件上传到任何地方并执行恣意shell下令。。。。

 

0x02 处置惩罚建议

现在相关厂商已经宣布更新，，，，建议参考官方的建议实时更新。。。。

 

0x03 参考链接

https://www.securityweek.com/sd-wan-product-vulnerabilities-allow-hackers-steer-traffic-shut-down-networks

https://medium.com/realmodelabs/sd-pwn-part-4-vmware-velocloud-the-last-takeover-a7016f9a9175

https://tools.cisco.com/security/center/publicationListing.x?product=Cisco&sort=-day_sir&offset=20#~Vulnerabilities

https://www.vmware.com/security/advisories/VMSA-2020-0025.html

 

0x04 时间线

2020-12-01  VSRC宣布清静通告

 

0x05 附录

 

CVSS评分标准官网：http://www.first.org/cvss/



image.png