Juniper Networks, Session Smart Router (SSR), Session Smart Conductor ve WAN Assurance Router ürünlerinde kimlik doğrulamanın atlanmasına yol açan maksimum önem derecesine sahip bir güvenlik açığını gidermek için bir acil durum güncellemesi yayınladı.
Güvenlik sorunu CVE-2024-2973 olarak izleniyor ve bir saldırgan bunu kullanarak cihazın tam kontrolünü ele geçirebilir.
Güvenlik açığının açıklamasında “Yedek bir eşle çalışan Juniper Networks Oturum Akıllı Yönlendiricisi veya İletkenindeki Alternatif Yol veya Kanal Kullanarak Kimlik Doğrulamayı Atlama güvenlik açığı, ağ tabanlı bir saldırganın kimlik doğrulamayı atlamasına ve cihazın tam kontrolünü ele geçirmesine olanak tanır” yazıyor.
Juniper, güvenlik danışma belgesinde “Yalnızca yüksek kullanılabilirliğe sahip yedekli yapılandırmalarda çalışan Yönlendiriciler veya İletkenler bu güvenlik açığından etkileniyor” diye belirtiyor.
Web yöneticileri, hizmet sürekliliğinin kritik olduğu yerlerde “Yüksek kullanılabilirlik yedekli yapılandırmaları” uygular. Bu yapılandırma, kesintisiz hizmetleri sürdürmek ve öngörülemeyen, kesintiye neden olan olaylara karşı dayanıklılığı artırmak için önemlidir.
Bu, büyük kurumsal ortamlar, veri merkezleri, telekomünikasyon, e-ticaret ve devlet veya kamu hizmetleri de dahil olmak üzere kritik görev ağ altyapısında güvenlik açığı bulunan yapılandırmayı oldukça yaygın hale getiriyor.
CVE-2024-2973’ten etkilenen ürün sürümleri şunlardır:
Oturum Akıllı Yönlendirici ve İletken:
- 5.6.15’ten önceki tüm sürümler
- 6.0’dan 6.1.9-lt’ye kadar
- 6.2’den 6.2’ye kadar 5-ilmek
WAN Güvence Yönlendiricisi:
- 6.1.9-lt’den önceki 6.0 versiyonları
- 6.2.5-sts’den önceki 6.2 versiyonları
Session Smart Router için 5.6.15, 6.1.9-lts ve 6.2.5-sts sürümlerinde güvenlik güncellemeleri kullanıma sunuldu.
WAN Güvence Yönlendiricileri, Mist Cloud’a bağlandıklarında otomatik olarak yamalanır, ancak Yüksek Erişilebilirlik kümelerinin yöneticilerinin SSR-6.1.9 veya SSR-6.2.5’e yükseltmeleri gerekir.
Juniper ayrıca Conductor düğümlerini yükseltmenin, düzeltmeyi bağlı yönlendiricilere otomatik olarak uygulamak için yeterli olduğunu, ancak yönlendiricilerin yine de mevcut en son sürüme yükseltilmesi gerektiğini belirtiyor.
Tedarikçi, müşterilere düzeltmenin uygulanmasının üretim trafiğini aksatmayacağını ve web tabanlı yönetim ve API’ler için yaklaşık 30 saniyelik bir kesinti süresiyle minimum bir etki yaratacağını garanti ediyor.
Bu güvenlik açığı için herhangi bir geçici çözüm bulunmamaktadır ve önerilen eylem, mevcut düzeltmeleri uygulamakla sınırlıdır.
Juniper’ı hedef alan hackerlar
Juniper ürünleri, kullanıldıkları kritik ve değerli ortamlar nedeniyle bilgisayar korsanları için cazip bir hedeftir.
Geçtiğimiz yıl Juniper EX anahtarları ve SRX güvenlik duvarları, dört güvenlik açığı içeren bir yararlanma zinciri aracılığıyla hedef alındı; kötü amaçlı etkinlik, satıcının ilgili bülteni yayınlamasından bir haftadan kısa bir süre sonra gözlemlendi.
Birkaç ay sonra CISA, söz konusu açıkların aktif olarak istismar edilmesinin daha büyük boyutlara ulaşacağı konusunda uyarıda bulunarak, federal kurumları ve kritik kuruluşları, CISA uyarıları için alışılmadık derecede kısa bir süre olan önümüzdeki dört gün içinde güvenlik güncellemelerini uygulamaya çağırdı.