Liebes Linux-Magazin-Team,
bitte beachten Sie die Informationen zu den verfügbaren Sicherheitsupdates
in der folgenden Sicherheitsmeldung.
Historie:
Version 5 (09.07.18):
Juniper aktualisiert seine Sicherheitsmeldung JSA10803 zur Schwachstelle
CVE-2017-10602 betreffend der Versionen, durch die die Schwachstelle
behoben wird. Neu aufgeführt werden die Versionen 14.1X53-D46,
14.1X53-D130 (Veröffentlichung steht noch aus), 15.1X53-D65 und
15.1X53-D233 von Junos OS.
Version 4 (01.11.17):
Juniper aktualisiert seine Sicherheitsmeldung JSA10792 zur Schwachstelle
CVE-2017-2344 betreffend gefixter Versionen. Es gelten die gleichen
Änderungen wie für Sicherheitsmeldung JSA10793 (CVE-2017-2345). Für diese
beiden Schwachstellen wird auch die Version 14.1X53-D75 aufgeführt.
Version 3 (01.11.17):
Juniper aktualisiert seine Sicherheitsmeldung JSA10793 zur Schwachstelle
CVE-2017-2345 betreffend gefixter Versionen. Statt der Version 12.3R12-S5
wird nun 12.3R12-S6, statt 14.2R4-S8 wird 14.2R4-S9, statt 15.1F5-S7 wird
15.1F5-S8, statt 15.1F7 wird 15.1F7-S2, statt 15.1×53-d105 wird
15.1X53-D107 und die Versionen 15.1X49-D110, 16.2R3 und 17.1R3 werden
zusätzlich aufgeführt.
Version 2 (10.08.17):
Juniper aktualisiert seine Sicherheitsmeldung JSA10795 zur Schwachstelle
CVE-2017-2347 und stellt darin klar, dass die Konfiguration ‘Multiprotocol
Label Switching Operations, Administration and Maintenance’ (MPLS OAM)
keine erforderliche Bedingung zur Ausnutzung der Schwachstelle ist, ein
Angreifer also allein durch die Versendung eines speziell präparierten
MPLS-Ping-Pakets an eine verwundbare Junos OS Version einen Absturz
hervorrufen kann. Zusätzlich weist Juniper darauf hin, dass CVE-2016-3074
im Gegensatz zu den Hinweisen in der ersten Veröffentlichung von JSA10798
nicht in Junos OS 12.3X48-D45 behoben wurde.
Version 1 (13.07.17):
Neues Advisory
Mehrere Schwachstellen in Junos OS in unterschiedlichen Plattformen und
Produkten ermöglichen einem entfernten, nicht authentisierten Angreifer das
Erlangen von Administratorrechten, das Umgehen von Sicherheitsvorkehrungen,
die Ausführung beliebigen Programmcodes und verschiedene Denial-of-Service-
Angriffe. Ein nicht authentisierter Angreifer im benachbarten Netzwerk kann
einen weiteren Denial-of-Service-Angriff ausführen und ein lokaler, einfach
authentisierter Angreifer kann Administratorrechte erlangen sowie beliebigen
Programmcode und beliebige Kommandozeilenbefehle mit Administratorrechten
ausführen. Wird Junos OS in einer virtualisierten Umgebung eingesetzt, kann
ein einfach am Gastsystem authentisierter Angreifer seine Privilegien
darüber hinaus auf den Host erweitern.
Die einzelnen Schwachstellen betreffen Junos OS selbst, den Routing Protocol
Dienst RPD (auch mit aktiviertem Border Gateway Protocol), den Dienst für
das Simple Network Management Protocol (SNMPD), die GD Graphics Library den
DHCP-Server JDHCPD, FreeBSD und J-Web (PHP) in verschiedenen Versionen von
Junos OS.
Juniper stellt Sicherheitsupdates zur Behebung der einzelnen Schwachstellen
bereit. Informationen zu betroffenen Versionen finden Sie in den jeweiligen
Schwachstelleninformationen und in den Referenzen des Herstellers. Hier
werden alle Versionen der einzelnen Versionszweige aufgeführt, die
mindestens eine Schwachstelle adressieren.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Schwachstellenarchiv unter:
[https://adv-archiv.dfn-cert.de/adv/2017-1209]
Mit freundlichen Grüßen,
Ihr DFN-CERT Incident Response Team
—
(c) DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen ist auf den Ursprung in
angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für die DFN-CERT
Webseite. https://www.dfn-cert.de/impressum.html
