Arista NG Firewall custom_handler Directory Traversal Remote Code Execution Vulnerability

Deze kwetsbaarheid stelt een aanvaller in staat om ongeacht authenticatie willekeurige code uit te voeren op de getroffen Arista NG Firewall. Dit kan leiden tot volledige controle over het systeem, inclusief data-exfiltratie, configuratiewijzigingen en het installeren van malware. De kwetsbaarheid is te wijten aan een gebrek aan validatie van gebruikersinvoer in de custom_handler methode, waardoor directory traversal mogelijk is. Een succesvolle exploitatie kan resulteren in een compromis van de gehele netwerkinfrastructuur die door de firewall wordt beschermd. De code wordt uitgevoerd onder de www-data gebruiker.

Organizations utilizing Arista NG Firewall in environments with exposed management interfaces are at significant risk. Specifically, deployments with default configurations or those lacking robust network segmentation are particularly vulnerable. Shared hosting environments where multiple tenants share the same firewall instance also face increased risk.

• linux / server: Monitor firewall logs for requests to the /custom_handler endpoint with unusual or potentially malicious file paths. Use journalctl to filter for relevant events.

journalctl -u arista-ngfw -f | grep 'custom_handler'

• generic web: Use curl to test the /custom_handler endpoint with various path traversal payloads (e.g., ../etc/passwd).

curl 'http://<firewall_ip>/custom_handler?file=../../../../etc/passwd'

• generic web: Check access logs for requests containing suspicious characters or patterns indicative of directory traversal attempts.

1. 2024-12-20Disclosure

   disclosure

1. Gereserveerd2024-12-19
2. Gepubliceerd2024-12-20
3. EPSS bijgewerkt2026-04-02

Omdat er momenteel geen beveiligde versie beschikbaar is, is het essentieel om de getroffen systemen te isoleren van het openbare internet. Implementeer tijdelijke maatregelen zoals het configureren van een Web Application Firewall (WAF) om directory traversal pogingen te blokkeren. Controleer de toegangscontrolelijsten (ACL's) om de toegang tot de custom_handler endpoint te beperken tot vertrouwde bronnen. Monitor de logs op verdachte activiteit. Na de release van de patch, upgrade onmiddellijk naar de beveiligde versie. Verifieer na de upgrade dat de kwetsbaarheid is verholpen door te controleren of directory traversal pogingen worden geblokkeerd.