CISA 警告：Juniper の深刻な脆弱性に対して迅速なアップデート適用を推奨

CISA urges to fix multiple critical flaws in Juniper Networks products

2022/07/16 SecurityAffairs — CISA が発した警告は、Juniper Networks 製品のユーザーと管理者たちに対して、同社のセキュリティ・アドバイザリを確認し、Junos Space／Contrail Networking／NorthStar Controller などの一部の製品について、利用可能なアップデートの適用を促すものだ。これらの脆弱性の悪用に成功した脅威アクターたちは、影響を受けるシステムの乗っ取りが可能になるという。

CISA のアドバイザリは、「Juniper Networks は、複数の製品における脆弱性に対し、セキュリティ・アップデートをリリースした。これらの脆弱性を悪用する攻撃者は、影響を受けるシステムの制御が可能になる。Juniper Networks のセキュリティ・アドバイザリを確認し、必要なアップデートの適用を推奨する」と述べている。

一連のセキュリティ・アップデートでは、Junos Space の 31件の深刻な脆弱性が対処されている。これらの脆弱性は、nginx resolver／Oracle Java SE／OpenSSH／SambaRPM package manager／Kerberos／OpenSSL／Linux kernel／curl／MySQL Server などの、複数のサード・パーティ製品に影響する。

そのうち、最も深刻な脆弱性 CVE-2021-23017 (CVSS：9.4) は、nginx resolver に影響を及ぼすものだ。攻撃者は、DNS サーバからの UDP パケット偽造が可能になり、1 Byte のメモリ上書きを引き起こし、ワーカー・プロセスのクラッシュや、その他の影響を与える可能性がある。

また、Junos Space Policy Enforcer 22.1R1 以下にバンドルされる、CentOS 6.8 における複数の既知の脆弱性も対処されている。

Juniper はアドバイザリで、「Junos Space Security Director の UI のコンポーネント Policy Enforcer は、Sky ATP と統合されることで、software-defined セキュア・ネットワークに対して、センタライズされた脅威の管理と監視を提供する。これらの脆弱性は、Juniper Networks Junos Space Policy Enforcer 22.1R1 以下の、すべてのバージョンに影響する」と述べている。

Contrail Networking 21.4 における複数の深刻な脆弱性も修正されているが、そのうちのいくつかは、2013年に遡るものである。libgfortran における整数オーバーフローの脆弱性 CVE-2014-5044 は、リモートの攻撃者が、配列割り当てに関連するベクターを介して、任意のコード実行／サービス拒否 (Fortran アプリケーション・クラッシュ) を引き起こす可能性がる。

また、Juniper は、NorthStar Controller 製品に影響を与える、リモート・コード実行の脆弱性 CVE-2021-23017 (CVSS：9.4）にも対処している。リモートの攻撃者は、この脆弱性を悪用し、ワーカー・プロセスのクラッシュ／任意のコード実行を引き起こす可能性がある。

幸いなことに、Juniper SIRT は、上記の問題を悪用した悪意ある攻撃については、認識していないとのことだ。

文中において、最も深刻とされる脆弱性 CVE-2021-23017 (CVSS：9.4) ですが、お隣のキュレーション・チームに聞いてみたところ、Juniper の FIX は 4月20日ですが、Amazon／IBM／Oracle／Red Hat などは、もっと以前に nginx resolver の問題を解決しているとのことでした。また、7月16日にも、同じ CVE-2021-23017 が、NorthStar Controller に存在するリモート・コード実行の脆弱性にもアサインされたようです。