Juniper

هشدار شرکت Juniper در خصوص کشف اسیبپذیری بحرانی

شرکت Juniper Networks به روزرسانی‌های امنیتی منتشر کرده است تا آسیب‌پذیری بحرانی اجرای کد از راه دور (RCE) پیش از تأیید هویت (pre-auth) در فایروال‌های سری SRX و سوئیچ‌های سری EX خود را برطرف کند.

این آسیب‌پذیری بحرانی که در رابط‌های پیکربندی J-Web دستگاه‌ها یافت شده و با شناسه CVE-2024-21591 پیگیری می‌شود، می‌تواند توسط مهاجم ناشناس بدون تأیید هویت نیز به منظور به دست آوردن امتیازهای ریشه (root) یا انجام حملات (DoS) بر روی دستگاه‌های پچ نشده بهره‌برداری شود.

این مسئله به دلیل استفاده از یک تابع ناامن است که به حمله‌کننده اجازه می‌دهد تا حافظه دلخواه را بازنویسی کند

لیست کامل نسخه‌های آسیب‌پذیر Junos OS که تحت تأثیر آسیب‌پذیری J-Web سری SRX و EX می‌باشد عبارت است از:

Junos OS نسخه‌های قبل از 20.4R3-S9

Junos OS نسخه 21.2 قبل از 21.2R3-S7

Junos OS نسخه 21.3 قبل از 21.3R3-S5

Junos OS نسخه 21.4 قبل از 21.4R3-S5

Junos OS نسخه 22.1 قبل از 22.1R3-S4

Junos OS نسخه 22.2 قبل از 22.2R3-S3

Junos OS نسخه 22.3 قبل از 22.3R3-S2

Junos OS نسخه 22.4 قبل از 22.4R2-S2، 22.4R3

این آسیب‌پذیری در Junos OS 20.4R3-S9، 21.2R3-S7، 21.3R3-S5، 21.4R3-S5، 22.1R3-S4، 22.2R3-S3، 22.3R3-S2، 22.4R2-S2، 22.4R3، 23.2R1-S1، 23.2R2، 23.4R1 و همچنین تمام نسخه‌های پسین آدرس داده شده است.

به مدیران و ادمین ها توصیه می‌شود که بلافاصله به روزرسانی‌های امنیتی را اعمال کنند و یا JunOS را به آخرین نسخه به روزرسانی کنند و یا رابط J-Web را غیرفعال کنند.

روش موقت دیگر محدود کردن دسترسی J-Web فقط به میزبان‌های شبکه اعتماد شده است تا زمان استقرار پچ‌ها فعال باقی بماند.

همچنین CISA در نوامبر هم از یک بهره‌برداری Juniper pre-auth RCE در محیط واقعی هشدار داد و چهار آسیب‌پذیری با شناسه‌های CVE-2023-36844، CVE-2023-36845، CVE-2023-36846 و CVE-2023-36847 که تأثیر آن‌ها بر فایروال‌های SRX و سوئیچ‌های EX این شرکت است را پیگیری کرد.

در ماه سپتامبر، شرکت اطلاعات آسیب‌پذیری VulnCheck هزاران دستگاه Juniper را هنوز آسیب‌پذیر به حملات با استفاده از این زنجیره بهره‌برداری پیدا کرد.

اخبار آسیب‌پذیری‌ها را از وبسایت آپا بخش آسیب‌پذیری‌ها می توانید بخوانید، در ضمن صفحه اینستای ما را هم دنبال کنید.

دیدگاه شما

نشانی ایمیل شما منتشر نخواهد شد.