New Juniper Junos OS Flaws Expose Devices to Remote Attacks – Patch Now
2023/08/21 TheHackerNews — Juniper Networks は、Junos OS の J-Web コンポーネントに存在する複数の脆弱性に対処するために、”out-of-cycle” セキュリティ・アップデートをリリースした。全体で４件の脆弱性 (CVSS 5.3) が、組み合わせて悪用された場合の累積 CVSS 値は 9.8 であり、深刻度は Critical だと評価されている。これらの脆弱性は、SRX／EX シリーズの Junos OS 全バージョンに影響する。
Juniper は、2023年8月17日に発表したアドバイザリで、「これらの脆弱性を連鎖的に悪用することで、認証されていないネットワーク・ベースの攻撃者は、標的デバイス上でリモートからコードを実行する可能性がある」とで述べている。
この、J-Web インターフェースを介して、ユーザーは Junos OS デバイスの設定／管理／監視を行えるようになっている。
- CVE-2023-36844／CVE-2023-36845 (CVSS：5.3) – EX／SRX Series の Juniper Networks Junos OS の J-Web に存在する、PHP の外部変数変更の脆弱性。認証されていないネットワークベースの攻撃者が、特定の重要な環境変数を制御できる。
- CVE-2023-36846 and CVE-2023-36847(CVSS：5.3) – EX／SRX Series の Juniper Networks Junos OS に存在する、重要な機能に対する認証の欠落の脆弱性。認証されていないネットワークベースの攻撃者が、ファイル・システムの完全性に限定的な影響を与える可能性がある。
攻撃者は、特別に細工したリクエストを送信して、認証なしで特定の PHP 環境変数の変更／J-Web 経由で任意のファイルのアップロードなどを実行することで、前述の問題を悪用することに成功する可能性がある。
これらの脆弱性は、以下のバージョンで修正されている。
- EX Series – Junos OS versions 20.4R3-S8, 21.2R3-S6, 21.3R3-S5, 21.4R3-S4, 22.1R3-S3, 22.2R3-S1, 22.3R2-S2, 22.3R3, 22.4R2-S1, 22.4R3, and 23.2R1
- SRX Series – Junos OS versions 20.4R3-S8, 21.2R3-S6, 21.3R3-S5, 21.4R3-S5, 22.1R3-S3, 22.2R3-S2, 22.3R2-S2, 22.3R3, 22.4R2-S1, 22.4R3, and 23.2R1
ユーザーに対しては、リモート・コード実行の潜在的な脅威を軽減するために、必要な修正プログラムを適用することが推奨される。Juniper Networks は、回避策として、J-Web を無効化するか、信頼できるホストのみにアクセスを制限することを推奨している。
Juniper Junos OS の脆弱性ですが、アドバイザリ・ページの右上には CVSS 9.8 と記載されていますが、それぞれの４つの脆弱性は、CVSS 5.3 となっています。お隣のキュレーション・チームに聞いてみたところ、このような記載は珍しいとのことですが、とても親切な対応だと思います。７月にも Juniper は、約 50件の脆弱性に対応していました。よろしければ、Juniper で検索も、ご利用ください。
IoT OT Security News 
You must be logged in to post a comment.