Juniper Networks, Junos OS’de birbirine zincirlenirse saldırganların uzaktan kod yürütmesine (RCE) izin verebilecek dört güvenlik açığını (CVE-2023-36844, CVE-2023-36845, CVE-2023-36846, CVE-2023-36847) düzeltti. ) şirketin SRX güvenlik duvarlarında ve EX anahtarlarında.
Sabit Junos OS güvenlik açıkları
Junos OS, Juniper Networks güvenlik duvarları, ağ anahtarları ve diğer güvenlik cihazları üzerinde çalışan, Linux ve FreeBSD tabanlı bir işletim sistemidir. Etkilenen bileşen – J-Web – Junos çalıştıran cihazları yönetmek için kullanılan grafik kullanıcı arayüzüdür (GUI).
CVE-2023-36844 Ve CVE-2023-36845 EX Serisi ve SRX Serisi üzerindeki Juniper Networks Junos OS’nin J-Web’indeki PHP harici değişken değiştirme güvenlik açıkları, kimliği doğrulanmamış, ağ tabanlı bir tehdit aktörünün belirli önemli ortam değişkenlerini kontrol etmesine izin verebilir.
CVE-2023-36846 Ve CVE-2023-36847 EX Serisi ve SRX Serisi üzerindeki Juniper Networks Junos İşletim Sisteminde, kimliği doğrulanmamış, ağ tabanlı bir tehdit aktörünün dosya sistemi bütünlüğü üzerinde sınırlı etkiye neden olmasına izin verebilecek kritik bir işlev için eksik kimlik doğrulamasını belirtir.
Juniper, “Kimliği doğrulanmamış, ağ tabanlı bir saldırgan, bu güvenlik açıklarından zincirleme yararlanarak cihazlarda uzaktan kod yürütebilir” dedi.
Bu nedenle güvenlik açıkları ayrı ayrı 5.3 CVSS puanına sahipken, bir araya geldiklerinde kritik hale geliyorlar (CVSS 9.8). Bu aynı zamanda, uzaktan kod yürütülmesini önlemek için platform başına yalnızca bir güvenlik açığının yamalanması gerektiği anlamına gelir.
Bu güvenlik açıkları, harici güvenlik araştırmacıları tarafından keşfedildi.
Güncelleme veya hafifletme
Güvenlik ve ağ cihazlarındaki güvenlik açıkları, saldırganlar tarafından genellikle bir hedef şirketin ağına ilk erişim elde etmek için kullanılır.
Şirket, aşağıdaki Junos işletim sistemi sürümlerini yayınlayarak bu güvenlik sorunlarını çözmüştür:
- SRX Serisi – 20.4R3-S8, 21.2R3-S6, 21.3R3-S5, 21.4R3-S5, 22.1R3-S3, 22.2R3-S2, 22.3R2-S2, 22.3R3, 22.4R2-S1, 22.4R3, 23.2R1, ve sonraki tüm sürümler
- EX Serisi – 20.4R3-S8, 21.2R3-S6, 21.3R3-S5, 21.4R3-S4, 22.1R3-S3, 22.2R3-S1, 22.3R2-S2, 22.3R3, 22.4R2-S1, 22.4R3, 23.2R1, ve sonraki tüm sürümler
Kullanıcıların Juniper Networks güvenlik duvarlarını ve anahtarlarını mümkün olan en kısa sürede güncellemeleri önerilir. Alternatif olarak, J-Web’i devre dışı bırakarak veya erişimi yalnızca güvenilir ana bilgisayarlarla sınırlayarak istismar riskini azaltabilirler.