Ağ donanımı şirketi Juniper Networks, Junos OS’nin J-Web bileşenindeki, hassas kurulumlarda uzaktan kod yürütülmesini sağlamak için birleştirilebilecek birden fazla kusuru gidermek için “döngü dışı” bir güvenlik güncellemesi yayınladı.
Dört güvenlik açığının kümülatif CVSS derecesi 9,8’dir ve bu da onları önem derecesinde Kritik yapar. Junos OS’nin SRX ve EX Series üzerindeki tüm sürümlerini etkilerler.
Şirket, “Bu güvenlik açıklarından zincirleme yararlanarak, kimliği doğrulanmamış, ağ tabanlı bir saldırgan, cihazlarda uzaktan kod yürütebilir” dedi. söz konusu 17 Ağustos 2023’te yayınlanan bir danışma belgesinde.
J-Web arayüzü, kullanıcıların Junos OS cihazlarını yapılandırmasına, yönetmesine ve izlemesine olanak tanır. Kusurların kısa bir açıklaması aşağıdaki gibidir –
- CVE-2023-36844 Ve CVE-2023-36845 (CVSS puanları: 5.3) – EX Serisi ve SRX Serisi üzerindeki Juniper Networks Junos OS’nin J-Web’indeki iki PHP harici değişken değiştirme güvenlik açığı, kimliği doğrulanmamış, ağ tabanlı bir saldırganın belirli, önemli ortam değişkenlerini kontrol etmesine olanak tanır.
- CVE-2023-36846 Ve CVE-2023-36847 (CVSS puanları: 5.3) – EX Serisi ve SRX Serisi üzerindeki Juniper Networks Junos OS’deki kritik işlev güvenlik açıkları için iki eksik kimlik doğrulaması, kimliği doğrulanmamış, ağ tabanlı bir saldırganın dosya sistemi bütünlüğü üzerinde sınırlı etkiye neden olmasına olanak tanır.
Bir tehdit aktörü, belirli PHP ortam değişkenlerini değiştirmek için özel olarak hazırlanmış bir istek gönderebilir veya yukarıda belirtilen sorunlardan başarılı bir şekilde yararlanmak için herhangi bir kimlik doğrulama olmadan J-Web aracılığıyla rastgele dosyalar yükleyebilir.
Güvenlik açıkları aşağıdaki sürümlerde ele alınmıştır –
- EX Serisi – Junos işletim sistemi sürümleri 20.4R3-S8, 21.2R3-S6, 21.3R3-S5, 21.4R3-S4, 22.1R3-S3, 22.2R3-S1, 22.3R2-S2, 22.3R3, 22.4R2-S1, 22.4R3, ve 23.2R1
- SRX Serisi – Junos işletim sistemi sürümleri 20.4R3-S8, 21.2R3-S6, 21.3R3-S5, 21.4R3-S5, 22.1R3-S3, 22.2R3-S2, 22.3R2-S2, 22.3R3, 22.4R2-S1, 22.4R3, ve 23.2R1
Kullanıcıların olası uzaktan kod yürütme tehditlerini azaltmak için gerekli düzeltmeleri uygulamaları önerilir. Geçici bir çözüm olarak Juniper Networks, kullanıcıların J-Web’i devre dışı bırakmasını veya erişimi yalnızca güvenilir ana bilgisayarlarla sınırlamasını öneriyor.