Arista NG Firewall custom_handler ディレクトリトラバーサルによるリモートコード実行の脆弱性

この脆弱性は、攻撃者が認証なしでArista NG Firewall上で任意のコードを実行することを可能にします。攻撃者は、カスタムハンドラ機能のファイル操作におけるパスの検証不足を悪用し、www-dataユーザーの権限でコードを実行できます。これにより、機密情報の窃取、システムの改ざん、さらにはネットワーク全体への攻撃の踏み台として利用される可能性があります。類似の脆弱性は、ファイル操作における入力検証の不備から発生する可能性があります。

Organizations utilizing Arista NG Firewall in environments with exposed management interfaces are at significant risk. Specifically, deployments with default configurations or those lacking robust network segmentation are particularly vulnerable. Shared hosting environments where multiple tenants share the same firewall instance also face increased risk.

• linux / server: Monitor firewall logs for requests to the /custom_handler endpoint with unusual or potentially malicious file paths. Use journalctl to filter for relevant events.

journalctl -u arista-ngfw -f | grep 'custom_handler'

• generic web: Use curl to test the /custom_handler endpoint with various path traversal payloads (e.g., ../etc/passwd).

curl 'http://<firewall_ip>/custom_handler?file=../../../../etc/passwd'

• generic web: Check access logs for requests containing suspicious characters or patterns indicative of directory traversal attempts.

1. 2024-12-20Disclosure

   disclosure

1. 予約済み2024-12-19
2. 公開日2024-12-20
3. EPSS 更新日2026-04-02

Aristaは、この脆弱性を修正したバージョンへのアップデートを推奨しています。アップデートがすぐに利用できない場合は、カスタムハンドラ機能の使用を一時的に停止するか、アクセス制御リスト（ACL）を使用して、信頼できるソースからのアクセスのみを許可するように構成してください。WAF（Web Application Firewall）を導入し、ディレクトリトラバーサルのパターンを検出・ブロックするルールを設定することも有効です。また、ログ監視を強化し、異常なファイルアクセスや実行を検知できるようにしてください。