Vulnerabilidade de Execução Remota de Código por Transversal de Diretório custom_handler no Arista NG Firewall

A exploração bem-sucedida desta vulnerabilidade permite que um atacante remoto obtenha controle total sobre o sistema Arista NG Firewall. O atacante pode executar comandos arbitrários, instalar malware, roubar dados confidenciais e potencialmente comprometer toda a rede. A ausência de autenticação necessária para a exploração aumenta significativamente o risco, tornando o sistema vulnerável a ataques não autenticados. A execução de código no contexto do usuário www-data pode permitir o acesso a informações sensíveis e a capacidade de escalar privilégios, dependendo da configuração do sistema.

Organizations utilizing Arista NG Firewall in environments with exposed management interfaces are at significant risk. Specifically, deployments with default configurations or those lacking robust network segmentation are particularly vulnerable. Shared hosting environments where multiple tenants share the same firewall instance also face increased risk.

• linux / server: Monitor firewall logs for requests to the /custom_handler endpoint with unusual or potentially malicious file paths. Use journalctl to filter for relevant events.

journalctl -u arista-ngfw -f | grep 'custom_handler'

• generic web: Use curl to test the /custom_handler endpoint with various path traversal payloads (e.g., ../etc/passwd).

curl 'http://<firewall_ip>/custom_handler?file=../../../../etc/passwd'

• generic web: Check access logs for requests containing suspicious characters or patterns indicative of directory traversal attempts.

1. 2024-12-20Disclosure

   disclosure

1. Reservado2024-12-19
2. Publicada2024-12-20
3. EPSS atualizado2026-04-02

A correção oficial para esta vulnerabilidade deve ser aplicada o mais rápido possível. Enquanto a correção não estiver disponível, considere as seguintes medidas de mitigação: implementar regras de firewall para restringir o acesso ao método custom_handler de fontes não confiáveis. Utilizar um Web Application Firewall (WAF) para filtrar solicitações maliciosas. Monitorar logs do sistema em busca de atividades suspeitas relacionadas à exploração desta vulnerabilidade. Se a atualização imediata não for possível devido a problemas de compatibilidade, considere a reversão para uma versão anterior do Arista NG Firewall que não seja afetada, se disponível. Após a aplicação da correção, verifique a integridade do sistema e confirme que a vulnerabilidade foi eliminada.