銀峰 & 思科 & Citrix & VMware | SD-WAN安全漏洞通告
發布時間 2020-12-020x00 漏洞概述
近日，Realmode Labs的研究人員發現了市場上排名前四的SD-WAN的產品中存在多個安全漏洞，其廠商分別為銀峰、思科、Citrix和VMware。在此次發現的漏洞中，有多個可造成遠程代碼執行，且無需任何身份驗證即可利用。攻擊者可以利用這些漏洞來攔截或惡意引導流量，甚至可導致網絡中斷。
0x01 漏洞詳情
產品名稱 | CVE ID | 類 型 | 漏洞等級 | 遠程利用 |
銀峰SD-WAN | CVE-2020-12145 | 身份驗證繞過 | 嚴重 | 是 |
CVE-2020-12146 | 路徑遍歷 | 高危 | 是 | |
CVE-2020-12147 | 任意SQL查詢 | 高危 | 是 | |
Citrix SD-WAN | CVE-2020-8271 | 路徑遍歷、Shell注入 | 嚴重 | 是 |
CVE-2020-8272 | 身份驗證繞過 | 高危 | 是 | |
CVE-2020-8273 | Shell注入 | 高危 | 是 | |
思科Viptela vManage
| CVE-2020-27128 | SSRF、任意文件寫入 | 中危 | 是 |
CVE-2020-27129 | 命令注入 | 中危 | 是 | |
CVE-2020-26073 | 文件讀取、目錄遍歷 | 高危 | 是 | |
CVE-2020-26074 | 權限提升 | 高危 | 否 | |
VMware VeloCloud Orchestrator | CVE-2020-4001 | 身份驗證繞過 | 中危 | 是 |
CVE-2020-3984 | SQL注入 | 高危 | 是 | |
CVE-2020-4000 | 目錄遍歷、代碼執行 | 中危 | 是 |
銀峰的SD-WAN中存在三個安全漏洞，分別為CVE-2020-12145、CVE-2020-12146和CVE-2020-12147，這些漏洞位于Orchestrator主管理界面，可集中控制公司的SD-WAN拓撲。攻擊者可配合利用這三個漏洞來對SD-PWN網絡進行攻擊。
Citrix SD-WAN以CakePHP2為框架在Apache上運行。由于CakePHP2框架在處理URL時存在問題，Citrix SD-WAN中心存在三個安全漏洞，分別為CVE-2020-8271、CVE-2020-8272和CVE-2020-8273，成功利用漏洞的攻擊者可注入shell命令，最終控制整個網絡。
思科Viptela vManage是思科SD-WAN基礎架構的中心，可管理網絡中所有終端。由于SD-WAN設計的集中性，從安全角度來看，vManage上的多個漏洞屬于單點故障。
通過利用CVE-2020-27128、CVE-2020-27129、CVE-2020-26073和CVE-2020-26074，攻擊者能夠遠程執行代碼來獲得vManage的控制權，而該終端通常托管在云環境中。攻擊者不需要任何配置即可利用這些漏洞。
VMware VeloCloud Orchestrator是連接到邊緣路由器并集中控制的網絡拓撲。VMware VeloCloud基礎架構由nginx組成，其主要用作node.js服務器的反向代理，由于其接口存在安全漏洞，分別為CVE-2020-4001、CVE-2020-3984和CVE-2020-4000。攻擊者可以利用這些漏洞修改Velocloud登錄名或重置密碼。
部分漏洞詳情如下：
銀峰SD-WAN身份驗證繞過漏洞（CVE-2020-12145）
由于對未執行身份驗證的本地主機的API調用的特殊處理存在安全問題，任何以“localhost”作為其HTTP Host標頭的請求都滿足檢查要求，這容易導致身份驗證繞過?？墒褂?span style="background:#D9D9D9">request.getBaseUri().getHost().equals(“localhost”)命令進行localhost檢查。
Citrix SD-WAN路徑遍歷和shell注入漏洞（CVE-2020-8271）
由于/collector/diagnostics/stop_ping端點讀取"/tmp/pid_" . $req_id文件，并在shell_exec調用中使用其內容，而沒有對允許路徑遍歷的$req_id進行清理。攻擊者可以將惡意文件上傳到任何地方并執行任意shell命令。
0x02 處置建議
目前相關廠商已經發布更新，建議參考官方的建議及時更新。
0x03 參考鏈接
https://www.securityweek.com/sd-wan-product-vulnerabilities-allow-hackers-steer-traffic-shut-down-networks
https://medium.com/realmodelabs/sd-pwn-part-4-vmware-velocloud-the-last-takeover-a7016f9a9175
https://tools.cisco.com/security/center/publicationListing.x?product=Cisco&sort=-day_sir&offset=20#~Vulnerabilities
https://www.vmware.com/security/advisories/VMSA-2020-0025.html
0x04 時間線
2020-12-01 VSRC發布安全通告
0x05 附錄
CVSS評分標準官網：http://www.first.org/cvss/
京公網安備11010802024551號