Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Juniper Junos OS >= 12.1X44
Juniper Junos OS < 12.1X44-D60
Juniper Junos OS >= 12.1X46
Juniper Junos OS < 12.1X46-D50
Juniper Junos OS < 12.1X46-D65
Juniper Junos OS < 12.1X46-D67
Juniper Junos OS >= 12.1×47
Juniper Junos OS < 12.1X47-D30
Juniper Junos OS < 12.1X47-D35
Juniper Junos OS >= 12.3X46
Juniper Junos OS >= 12.3×48
Juniper Junos OS < 12.3X48-D20
Juniper Junos OS < 12.3X48-D30
Juniper Junos OS < 12.3X48-D35
Juniper Junos OS < 12.3X48-D45
Juniper Junos OS < 12.3X48-D50
Juniper Junos OS < 12.3X48-D55
Juniper Junos OS >= 15.1X49
Juniper Junos OS < 15.1x49-d20
Juniper Junos OS < 15.1X49-D30
Juniper Junos OS < 15.1X49-D50
Juniper Junos OS < 15.1X49-D75
Juniper Junos OS < 15.1X49-D80
Juniper Junos OS < 15.1X49-D91
Juniper Junos OS < 15.1X49-D100
Betroffene Plattformen:
Juniper vSRX Integrated Virtual Firewall
Juniper J-Series Routers
Juniper SRX Services Gateways
Ein entfernter, nicht authentisierter Angreifer kann mehrere Schwachstellen
ausnutzen, um SRX Series Geräte vollständig zu kompromittieren bzw.
Administratorrechte auf einem Gerät zu erlangen (CVE-2017-2342),
Sicherheitsvorkehrungen zu umgehen oder verschiedene Denial-of-Service
(DoS)-Angriffe durchzuführen. Ein entfernter, einfach authentisierter
Angreifer kann eine weitere Schwachstelle ausnutzen, um Kommandos in der
Shell aus- bzw. eine Privilegieneskalation durchzuführen.
Der Hersteller bestätigt die Schwachstellen für verschiedene Versionen von
Junos OS auf SRX Geräten und benennt jeweils fehlerbereinigte Versionen. Die
Schwachstelle CVE-2017-2342 betrifft nur Junos OS 15.1X49 vor 15.1X49-D100
auf SRX300 Series Geräten und die Schwachstelle CVE-2017-3135 in ISC BIND
SRX Series, J Series und vSRX.
Patch:
Juniper Security Advisory JSA10789
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10789
Patch:
Juniper Security Advisory JSA10790
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10790
Patch:
Juniper Security Advisory JSA10791
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10791
Patch:
Juniper Security Advisory JSA10799
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10799
Patch:
Juniper Security Advisory JSA10801
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10801
Patch:
Juniper Security Advisory JSA10806
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10806
CVE-2017-2349: Schwachstelle in Junos OS ermöglicht Kommando-Injektion
Im IDP Feature in Junos OS 12.1X44, 12.1X46, 12.1X47, 12.3X48 und 15.1X49
auf SRX Series Geräten existiert eine Schwachstelle, die einem Benutzer mit
Login Access auf dem Gerät möglicherweise die Ausführung von Shell-Kommandos
und die Erhöhung seiner Privilegien ermöglicht. Ein entfernter, einfach
authentisierter Angreifer kann diese Schwachstelle ausnutzen, um beliebige
Kommandos in der Shell zur Ausführung zu bringen oder eine
Privilegieneskalation zu erreichen.
CVE-2017-2343: Schwachstelle in Junos OS ermöglicht Erlangen von
Administratorrechten
In der Integrated User Firewall (UserFW) API in Junos OS 12.3X48 und 15.1X49
auf SRX Series Geräten existiert eine Schwachstelle aufgrund der Verwendung
hart-kodierter Credentials, die sowohl SRX Series Geräte als möglicherweise
auch LDAP und Active Directories und darüber eine Vielzahl von Anwendungen
betrifft, die hierauf vertrauen. Die Credentials können im Klartext oder
verschlüsselt übermittelt werden und so unter anderem in einem
Man-in-the-Middle (MitM)-Angriff von einem Angreifer im Netzwerk erlangt
werden. Ein entfernter, nicht authentisierter Angreifer kann diese
Schwachstelle ausnutzen, um SRX Series Geräte vollständig zu kompromittieren
und möglicherweise die administrative Kontrolle über ein oder mehrere Active
Directories zu erlangen.
CVE-2017-2342: Schwachstelle in Junos OS ermöglicht Umgehen von
Sicherheitsvorkehrungen
Das MACsec Feature von Junos OS 15.1X49 vor 15.1X49-D100 auf SRX300 Series
Geräten gibt keine Fehler zurück, wenn ein sicherer Link nicht aufgebaut
werden konnte, sondern fällt auf einen unverschlüsselten Link zurück. Dies
kann passieren, wenn MACsec für Ports konfiguriert ist, welche nicht
MACsec-fähig sind, oder wenn eine sichere Verbindung nicht aufgebaut werden
konnte. Dadurch können Kunden irrtümlich annehmen, dass eine Verbindung
sicher sei. Ein entfernter, nicht authentisierter Angreifer kann durch
Umgehen der Sicherheitsmaßnahme Verschlüsselung weitere nicht näher
spezifizierte Angriffe durchführen.
CVE-2017-10605: Schwachstelle in Junos OS ermöglicht
Denial-of-Service-Angriff
In Junos OS 12.1X46, 12.3X48 und 15.1X49 auf vSRX oder SRX Series Geräten,
wenn für diese DHCP oder DHCP Relays konfiguriert sind, existiert eine
Schwachstelle, durch die mit Hilfe speziell präparierter Pakete ein Absturz
des ‘flowd’-Prozesses ausgelöst werden kann, infolgedessen der
Netzwerkverkehr durch die betroffenen Geräte unterbrochen wird. Wiederholte
Abstürze des ‘flowd’-Prozesses können zu einem ausgedehnten
Denial-of-Service (DoS)-Zustand des Gerätes führen. Ein entfernter, nicht
authentisierter Angreifer kann einen Denial-of-Service-Angriff durchführen.
CVE-2017-10604: Schwachstelle in Junos OS ermöglicht
Denial-of-Service-Angriff
In Junos OS 12.1X46, 12.3X48 und 15.1X49 auf SRX Series Geräten existiert
eine Schwachstelle, wenn diese konfiguriert sind einen
Benutzerkontoausschluss für eine definierte Zeit durchzuführen. Jeder nicht
authentisierte Versuch eines Benutzers sich als Root mit einem falschen
Passwort anzumelden, kann dadurch das Root-Konto blockieren. Wenn ein SRX
Series Gerät im Cluster-Modus betrieben wird und es findet eine ‘Cluster
Sync’ oder ‘Failover’ Operation statt, führt dies zu Fehlern bei der
Synchronisation oder dem Failover. Ein entfernter, nicht authentisierter
Angreifer kann eine Schwachstelle auf SRX Series Geräten ausnutzen, um einen
Denial-of-Service (DoS)-Angriff durchzuführen.
CVE-2017-3135: Schwachstelle in BIND ermöglicht Denial-of-Service-Angriff
Wenn die Konfiguration eines Servers die gleichzeitige Verwendung der
DNS-Erweiterung DNS64 (‘Extensions for Network Address Translation from IPv6
Clients to IPv4 Servers’, RFC 6147) zur IPv6/IPv4-Übersetzung, als auch RPZ
(Domain Name Service Response Policy Zones) unterstützt, kann die
Verarbeitung von Anfragen (Queries) zu einem inkonsistenten Status führen,
wodurch es entweder zu einem INSIST Zusicherungsfehler (Assertion Failure)
und nachfolgendem Abbruch oder zu dem Versuch, durch einen NULL-Zeiger zu
lesen (NULL Pointer Read) kommen kann, infolgedessen auf den meisten
Systemen eine Schutzverletzung (Segmentation Fault, SEGFAULT) ausgelöst
wird; in beiden genannten Fällen wird der Prozess infolgedessen hart
beendet.
Ein entfernter, nicht authentisierter Angreifer kann eine Schwachstelle in
ISC BIND Servern, die per Konfiguration sowohl Response Policy Zones (RPZ)
als auch DNS64 (als Methode AAAA Records aus A Records zu synthetisieren)
unterstützen, dazu ausnutzen, einen Denial-of-Service (DoS)-Angriff
durchzuführen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-1207/
Schwachstelle CVE-2017-3135 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-3135
Juniper Security Advisory JSA10789:
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10789
Juniper Security Advisory JSA10790:
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10790
Juniper Security Advisory JSA10791:
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10791
Juniper Security Advisory JSA10799:
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10799
Juniper Security Advisory JSA10801:
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10801
Juniper Security Advisory JSA10806:
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10806
Schwachstelle CVE-2017-10604 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-10604
Schwachstelle CVE-2017-10605 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-10605
Schwachstelle CVE-2017-2342 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-2342
Schwachstelle CVE-2017-2343 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-2343
Schwachstelle CVE-2017-2349 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-2349
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
