Vulnerabilidad de Ejecución Remota de Código por Recorrido de Directorio en Arista NG Firewall custom_handler

Un atacante que explote con éxito esta vulnerabilidad puede obtener control total sobre el sistema Arista NG Firewall. Esto implica la capacidad de ejecutar comandos arbitrarios con los privilegios del usuario www-data, lo que podría permitir el acceso a datos sensibles, la modificación de la configuración del firewall, la instalación de malware o incluso el uso del firewall como punto de apoyo para atacar otros sistemas en la red. La falta de autenticación necesaria para la explotación amplía significativamente el riesgo, ya que cualquier atacante externo puede intentar aprovecharse de esta falla. La ejecución de código arbitrario en un firewall representa un riesgo crítico para la seguridad de la red, ya que este dispositivo a menudo actúa como la primera línea de defensa contra ataques externos.

Organizations utilizing Arista NG Firewall in environments with exposed management interfaces are at significant risk. Specifically, deployments with default configurations or those lacking robust network segmentation are particularly vulnerable. Shared hosting environments where multiple tenants share the same firewall instance also face increased risk.

• linux / server: Monitor firewall logs for requests to the /custom_handler endpoint with unusual or potentially malicious file paths. Use journalctl to filter for relevant events.

journalctl -u arista-ngfw -f | grep 'custom_handler'

• generic web: Use curl to test the /custom_handler endpoint with various path traversal payloads (e.g., ../etc/passwd).

curl 'http://<firewall_ip>/custom_handler?file=../../../../etc/passwd'

• generic web: Check access logs for requests containing suspicious characters or patterns indicative of directory traversal attempts.

1. 2024-12-20Disclosure

   disclosure

1. Reservado2024-12-19
2. Publicada2024-12-20
3. EPSS actualizado2026-04-02

La solución principal es actualizar el Arista NG Firewall a una versión corregida que solucione la vulnerabilidad. Si la actualización inmediata no es posible, se recomienda implementar medidas de mitigación temporales. Estas pueden incluir la restricción del acceso a la interfaz web del firewall, la implementación de reglas de firewall que bloqueen el tráfico sospechoso y la monitorización de los registros del sistema en busca de actividad inusual. Además, se puede considerar la deshabilitación temporal del método custom_handler si no es esencial para el funcionamiento del firewall. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta verificando los registros del sistema y realizando pruebas de penetración.