信息來(lái)源：FreeBuf

Juniper Networks發(fā)布緊急更新，修復(fù)ScreenOS上一個(gè)“未授權(quán)代碼”。攻擊者可以利用該漏洞解密NetScreen設(shè)備的VPN流量。

FreeBuf百科：Juniper Networks

Juniper網(wǎng)絡(luò)公司(中文名：瞻博網(wǎng)絡(luò))致力于實(shí)現(xiàn)網(wǎng)絡(luò)商務(wù)模式的轉(zhuǎn)型。作為全球領(lǐng)先的聯(lián)網(wǎng)和安全性解決方案供應(yīng)商，Juniper網(wǎng)絡(luò)公司對(duì)依賴網(wǎng)絡(luò)獲得戰(zhàn)略性收益的客戶一直給予密切關(guān)注。公司的客戶來(lái)自全球各行各業(yè)，包括主要的網(wǎng)絡(luò)運(yùn)營(yíng)商、企業(yè)、政府機(jī)構(gòu)以及研究和教育機(jī)構(gòu)等。Juniper網(wǎng)絡(luò)公司推出的一系列聯(lián)網(wǎng)解決方案，提供所需的安全性和性能來(lái)支持全球最大型、最復(fù)雜、要求最嚴(yán)格的關(guān)鍵網(wǎng)絡(luò)。

Juniper還沒(méi)有對(duì)這個(gè)代碼漏洞給予任何的評(píng)論，但是Juniper的產(chǎn)品已經(jīng)被從國(guó)家安全局的產(chǎn)品目錄中篩選了出來(lái)。2013年12月，Jacob Appelbaum、Judit Horchert和Christian Stocker在Der Spiegel發(fā)表的一篇文章中指出，NSA的FEEDTHROUGH植入是為Juniper防火墻量身定制的，給美國(guó)政府留下了一個(gè)永久后門(mén)，可隨時(shí)訪問(wèn)這些高端網(wǎng)絡(luò)設(shè)備。NetScreen應(yīng)用是一款高端企業(yè)防火墻和VPN產(chǎn)品，被通信商和數(shù)據(jù)中心廣泛使用，ScreenOS是運(yùn)行在這些應(yīng)用的操作系統(tǒng)。

內(nèi)部代碼審計(jì)發(fā)現(xiàn)兩枚漏洞

Juniper高級(jí)副總裁兼首席信息安全官Bob Worrall稱，在最近的內(nèi)部代碼審計(jì)過(guò)程中發(fā)現(xiàn)了兩枚漏洞，影響ScreenOS 6.2.0r15—6.2.0r18，6.3.0r12—6.3.0r20版本。

其中一個(gè)是未授權(quán)代碼漏洞，可解密VPN流量；另外一個(gè)可允許攻擊者通過(guò)SSH或者telnet遠(yuǎn)程管理訪問(wèn)設(shè)備。Juniper提到這些系統(tǒng)的訪問(wèn)會(huì)被記錄，密碼認(rèn)證也會(huì)成功，但是攻擊者可改變或者刪除日志條目。

“當(dāng)我們發(fā)現(xiàn)這些漏洞時(shí)，我們立即對(duì)這一問(wèn)題進(jìn)行了調(diào)查研究，開(kāi)發(fā)并發(fā)布最新版本ScreenOS的修復(fù)方法。目前為止我們并未收到這兩個(gè)漏洞被利用的報(bào)道，但是我們還是強(qiáng)烈建議用戶更新系統(tǒng)。”

SRX以及其他基于Junos的系統(tǒng)不受影響，Junos是該公司用于路由、交換、安全的一個(gè)高性能網(wǎng)絡(luò)操作系統(tǒng)。

* 參考來(lái)源threatpost，轉(zhuǎn)載請(qǐng)注明來(lái)自FreeBuf黑客與極客（FreeBuf.COM）