Arista NG 防火墙 custom_handler 目录遍历远程代码执行漏洞
平台
other
组件
arista-ng-firewall
修复版本
17.1.2
CVE-2024-12830 是 Arista NG Firewall 中的远程代码执行 (RCE) 漏洞，允许攻击者在未经身份验证的情况下执行任意代码。该漏洞源于 custom_handler 方法中路径验证不足的问题，可能导致攻击者利用此漏洞执行代码。受影响的版本包括 17.1.1–17.1.1，建议尽快升级至修复版本。
影响与攻击场景
攻击者可以利用此漏洞在 Arista NG Firewall 设备上执行任意代码，从而完全控制设备。这可能导致数据泄露、系统破坏、恶意软件部署以及进一步的网络攻击。由于该漏洞不需要身份验证，攻击者可以轻松地利用它，造成严重的后果。该漏洞的利用方式类似于其他目录遍历漏洞，攻击者可以构造恶意请求来访问或修改系统文件，从而执行任意命令。
利用背景
该漏洞已于 2024 年 12 月 20 日公开披露。目前尚无公开的利用程序 (PoC)，但由于漏洞的严重性和易利用性，预计未来可能会出现。该漏洞已添加到 CISA KEV 目录中，表明其具有较高的风险。建议密切关注相关信息，并及时采取措施。
哪些人处于风险中翻译中…
Organizations utilizing Arista NG Firewall in environments with exposed management interfaces are at significant risk. Specifically, deployments with default configurations or those lacking robust network segmentation are particularly vulnerable. Shared hosting environments where multiple tenants share the same firewall instance also face increased risk.
检测步骤翻译中…
• linux / server: Monitor firewall logs for requests to the /custom_handler endpoint with unusual or potentially malicious file paths. Use journalctl to filter for relevant events.
journalctl -u arista-ngfw -f | grep 'custom_handler'• generic web: Use curl to test the /custom_handler endpoint with various path traversal payloads (e.g., ../etc/passwd).
curl 'http://<firewall_ip>/custom_handler?file=../../../../etc/passwd'• generic web: Check access logs for requests containing suspicious characters or patterns indicative of directory traversal attempts.
攻击时间线
- Disclosure
disclosure
威胁情报
漏洞利用状态
EPSS
3.10% (87% 百分位)
CISA SSVC
CVSS 向量
这些指标意味着什么？
- Attack Vector
- 网络 — 可通过互联网远程利用，无需物理或本地访问。攻击面最大。
- Attack Complexity
- 高 — 需要竞态条件、非默认配置或特定情况。难以可靠利用。
- Privileges Required
- 无 — 无需认证，无需凭证即可利用。
- User Interaction
- 无 — 攻击自动且无声，受害者无需任何操作。
- Scope
- 未改变 — 影响仅限于脆弱组件本身。
- Confidentiality
- 高 — 完全丧失机密性，攻击者可读取所有数据。
- Integrity
- 高 — 攻击者可写入、修改或删除任何数据。
- Availability
- 高 — 完全崩溃或资源耗尽，完全拒绝服务。
受影响的软件
弱点分类 (CWE)
时间线
- 已保留
- 发布日期
- EPSS 更新日期
缓解措施和替代方案
目前，Arista 尚未发布官方修复版本。作为临时缓解措施，建议禁用 customhandler 功能，或配置防火墙规则以限制对该功能的访问。此外，可以考虑使用 Web 应用防火墙 (WAF) 来检测和阻止恶意请求。密切监控系统日志，查找任何异常活动，并及时采取措施。在升级修复版本后，请验证 customhandler 功能是否已正确禁用或配置，以确保漏洞已得到有效修复。
修复方法翻译中…
Actualizar Arista NG Firewall a una versión posterior a la 17.1.1 que corrija la vulnerabilidad de directory traversal en el método custom_handler. Consultar el sitio web del proveedor para obtener la última versión y las instrucciones de actualización.
CVE 安全通讯
漏洞分析和关键警报直接发送到您的邮箱。
常见问题
什么是 CVE-2024-12830 — RCE 在 Arista NG Firewall 中？
CVE-2024-12830 是 Arista NG Firewall 中的远程代码执行漏洞，允许攻击者在未经身份验证的情况下执行任意代码。
我是否受到 CVE-2024-12830 在 Arista NG Firewall 中影响？
如果您正在使用 Arista NG Firewall 17.1.1–17.1.1 版本，则可能受到影响。
我如何修复 CVE-2024-12830 在 Arista NG Firewall 中？
目前 Arista 尚未发布官方修复版本。建议禁用 custom_handler 功能或配置防火墙规则以限制访问。
CVE-2024-12830 是否正在被积极利用？
虽然目前尚无公开的利用程序，但由于漏洞的严重性和易利用性，预计未来可能会出现。
在哪里可以找到 Arista 官方关于 CVE-2024-12830 的公告？
请访问 Arista 的安全公告页面，查找有关 CVE-2024-12830 的最新信息。