1.png

近日,Juniper 官方发布了 Junos OS 设备基于 HTTP/HTTPS 和 J-Web 服务存在本地文件包含、命令注入等安全漏洞公告(CVE-2020-1631)。Junos OS 设备的 J-Web、Web 身份验证模块、动态 VPN(DVPN),和带有 Web 重定向的防火墙身份验证、零接触配置(ZTP)所使用的 HTTP/HTTPS 服务接口存在本地文件包含(LFI)和路径遍历漏洞,恶意攻击者可以通过该漏洞组合进行命令注入和敏感文件读取攻击从而获得当前登录到 J-Web 的用户权限,Juniper 已经收到该漏洞的在野利用报告,建议使用该设备的用户尽快升级漏洞修复的版本或采取缓解措施加固设备,如果发现已经被攻击请全面排查网络异常。

Juniper Junos OS是美国瞻博网络(Juniper Networks)公司的一套专用于该公司的硬件系统的网络操作系统,该操作系统以可靠性、安全性和灵活性为核心,运行着全球一些极其复杂的网络部署。Junos OS实现了网络操作自动化,操作简便且精准,同时还改进了运营效率,使用户能够将宝贵的时间和资源投入到有助于利润增长的商机上。

漏洞概况

根据分析,要利用此漏洞,恶意攻击者可能通过将命令注入到httpd.log日志中,以具有“world”可读文件的权限读取文件(在Junos OS 19.3R1及更高版本中,未经身份验证的攻击者将能够通过具有“world”可读权限读取配置文件),或者获取J-Web会话令牌,从而获取当前已登录用户权限,如果有管理员登录,则攻击者可以获得管理员对J-Web的访问权限,由于HTTP服务以“nobody”用户身份运行,因此命令注入的影响相对有限。

漏洞影响范围

漏洞影响Junos OS 版本:

  • 12.3, 17.2, 18.3, 19.4
  • 12.3X48, 17.3, 18.4, 20.1
  • 14.1X53, 17.4, 19.1
  • 15.1, 18.1, 19.2,
  • 15.1X49, 18.2, 19.3

影响版本:

  • 12.3X48-D101, 17.4R3-S2, 19.3R3
  • 12.3X48-D105, 18.2R3-S4, 19.4R1-S2
  • 15.1X49-D211, 18.3R2-S4, 19.4R2
  • 15.1X49-D220, 18.3R3-S2, 19.2R2
  • 15.1R7-S7, 18.4R1-S7, 19.3R2-S3
  • 16.1R7-S8, 18.2R2-S7, 20.1R1-S1
  • 17.2R3-S4, 18.4R3-S2, 20.1R2以及所有后续发行版
  • 17.4R2-S11, 19.1R1-S5
  • 17.3R3-S8, 19.1R3-S1

根据目前FOFA系统最新数据(一年内数据),显示全球范围内(app=”Juniper-NetScreen防火墙” || app=”Juniper-VPN”)共有 31,779 个相关服务对外开放。美国使用数量最多,共有 8,765 个;中国第二,共有 3,649 个;韩国第三,共有 1,795 个;日本第四,共有 1,285 个;英国第五,共有 1,179 个。

全球范围内分布情况如下(仅为分布情况,非漏洞影响情况)

2.png

中国大陆地区上海使用数量最多,共有 680 个;广东第二,共有 564 个;北京第三,共有 485 个,江苏第四,共有 450 个;浙江第五,共有 212 个。

3.png

CVE编号

CVE-2020-1631

修复建议

  • 建议受漏洞影响的用户尽快升级Junos OS 到漏洞修复的版本,升级方式具体请查看官网https://kb.juniper.net/InfoCenter/index?page=content&id=JSA11021。

  • 缓解措施:如未能第一时间采用升级Junos OS 修复漏洞,可使用以下命令禁用HTTP/HTTPS服务,使Junos OS设备不受漏洞影响:

    user@device# deactivate system services web-management
    user@device# deactivate security dynamic-vpn (if DVPN is configured)
    user@device# commit
    

参考

[1] https://weixin.shuziguanxing.com/selectDetailsTempateId/426

白帽汇从事信息安全,专注于安全大数据、企业威胁情报。

公司产品:FOFA-网络空间安全搜索引擎、FOEYE-网络空间检索系统、NOSEC-安全讯息平台。

为您提供:网络空间测绘、企业资产收集、企业威胁情报、应急响应服务。



Source link

Write a comment:
*

Your email address will not be published.