Vulnérabilité d'exécution de code à distance par contournement de répertoire (Directory Traversal) dans Arista NG Firewall custom_handler

Cette vulnérabilité présente un risque élevé car elle permet à un attaquant d'obtenir un contrôle total sur le pare-feu Arista NG Firewall sans nécessiter d'authentification. Un attaquant pourrait exploiter cette faille pour compromettre les données sensibles transitant par le pare-feu, modifier les règles de pare-feu, ou utiliser le pare-feu comme point de pivot pour attaquer d'autres systèmes sur le réseau interne. L'exécution de code se fait dans le contexte de l'utilisateur www-data, ce qui pourrait permettre l'escalade de privilèges si ce compte dispose de droits d'accès étendus. La simplicité de l'exploitation, sans authentification requise, rend cette vulnérabilité particulièrement préoccupante.

Organizations utilizing Arista NG Firewall in environments with exposed management interfaces are at significant risk. Specifically, deployments with default configurations or those lacking robust network segmentation are particularly vulnerable. Shared hosting environments where multiple tenants share the same firewall instance also face increased risk.

• linux / server: Monitor firewall logs for requests to the /custom_handler endpoint with unusual or potentially malicious file paths. Use journalctl to filter for relevant events.

journalctl -u arista-ngfw -f | grep 'custom_handler'

• generic web: Use curl to test the /custom_handler endpoint with various path traversal payloads (e.g., ../etc/passwd).

curl 'http://<firewall_ip>/custom_handler?file=../../../../etc/passwd'

• generic web: Check access logs for requests containing suspicious characters or patterns indicative of directory traversal attempts.

1. 2024-12-20Disclosure

   disclosure

1. Réservé2024-12-19
2. Publiée2024-12-20
3. EPSS mis à jour2026-04-02

La mitigation principale consiste à mettre à jour immédiatement Arista NG Firewall vers une version corrigée dès que celle-ci sera disponible. En attendant la mise à jour, il est possible de limiter l'exposition du pare-feu en restreignant l'accès au service customhandler. Si la mise à jour n'est pas possible immédiatement, envisagez de configurer un pare-feu web (WAF) pour bloquer les requêtes malveillantes ciblant le customhandler. Surveillez attentivement les journaux du pare-feu pour détecter toute activité suspecte. Il n'existe pas de contournement de configuration connu, la mise à jour est donc primordiale.