CERTFR-2015-ALE-014
Vulnerability from certfr_alerte
Une vulnérabilité a été découverte dans Juniper ScreenOS. Elle permet à un attaquant de provoquer un contournement de la politique de sécurité.
Solution
Une mise à jour de sécurité a été publiée hier sur le site officiel de Juniper.
Cette mise à jour corrige plusieurs failles de sécurité critiques au niveau du système ScreenOS, identifiées à la suite d'un audit de code interne réalisé par Juniper.
La première vulnérabilité corrigée permettait à un attaquant de se connecter, via les protocoles SSH ou telnet, à tout équipement réseau Juniper utilisant une version vulnérable du système d'exploitation ScreenOS (versions antérieures à 6.2.0r18 ou 6.3.0r20).
De plus, le mot de passe de la porte dérobée a été identifié et a été rendu public sur Internet.
Cette compromission peut être détectée par la présence dans les journaux de notifications de connexions "anormales" pendant lesquelles le passage en mode administrateur (system) s'effectue depuis un compte utilisateur "standard" (username2) :
2015-12-17 09:00:00 system warn 00515 Admin user system has logged on
via SSH from [...]
2015-12-17 09:00:00 system warn 00528 SSH: Password authentication
successful for admin user 'username2' at host [...]
Cependant la société Juniper souligne le fait qu'unattaquant, ayant le niveau requis pour exploiter cettevulnérabilité, aura vraisemblablement effacé toute trace de sesconnexions dans les journaux.
La société Fox-It propose des signatures au format Snort afin d'identifer toute tentative de connexion à un équipement Juniper vulnérable via la porte dérobée.
La seconde vulnérabilité permettait à un attaquant, en capacité d'écouter le trafic VPN émis depuis un équipement concerné, de déchiffrer ce trafic.
Le CERT-FR recommande donc aux utilisateur de Juniper ScreenOS de procéder à une mise à jour immédiate du système d'exploitation. De plus, le CERT-FR insiste sur l'importance d'isoler l'accès aux interfaces d'administration des équipements réseaux afin de n'autoriser que les connexions depuis des systèmes de confiance.
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation)
None| Title | Publication Time | Tags | |||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
|||||||||||||||||
{
"$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
"affected_systems": [
{
"description": "Juniper ScreenOS versions 6.3.0r12 \u00e0 6.3.0r20",
"product": {
"name": "N/A",
"vendor": {
"name": "N/A",
"scada": false
}
}
},
{
"description": "Juniper ScreenOS versions 6.2.0r15 \u00e0 6.2.0r18",
"product": {
"name": "N/A",
"vendor": {
"name": "N/A",
"scada": false
}
}
}
],
"affected_systems_content": null,
"closed_at": "2016-04-11",
"content": "## Solution\n\nUne mise \u00e0 jour de s\u00e9curit\u00e9 a \u00e9t\u00e9 publi\u00e9e hier sur le site officiel de\nJuniper.\n\nCette mise \u00e0 jour corrige plusieurs failles de s\u00e9curit\u00e9 critiques au\nniveau du syst\u00e8me ScreenOS, identifi\u00e9es \u00e0 la suite d\u0027un audit de code\ninterne r\u00e9alis\u00e9 par Juniper.\n\nLa premi\u00e8re vuln\u00e9rabilit\u00e9 corrig\u00e9e permettait \u00e0 un attaquant de se\nconnecter, via les protocoles SSH ou telnet, \u00e0 tout \u00e9quipement r\u00e9seau\nJuniper utilisant une version vuln\u00e9rable du syst\u00e8me d\u0027exploitation\nScreenOS (versions ant\u00e9rieures \u00e0 6.2.0r18 ou 6.3.0r20).\n\nDe plus, le mot de passe de la porte d\u00e9rob\u00e9e a \u00e9t\u00e9 identifi\u00e9 et a \u00e9t\u00e9\nrendu public sur Internet.\n\nCette compromission peut \u00eatre d\u00e9tect\u00e9e par la pr\u00e9sence dans les journaux\nde notifications de connexions \"anormales\" pendant lesquelles le passage\nen mode administrateur (system) s\u0027effectue depuis un compte utilisateur\n\"standard\" (username2) :\n\n 2015-12-17 09:00:00 system warn 00515 Admin user system has logged on \n via SSH from [...]\n 2015-12-17 09:00:00 system warn 00528 SSH: Password authentication \n successful for admin user \u0027username2\u0027 at host [...]\n\nCependant la soci\u00e9t\u00e9 Juniper souligne le fait qu\u0027unattaquant, ayant le\nniveau requis pour exploiter cettevuln\u00e9rabilit\u00e9, aura vraisemblablement\neffac\u00e9 toute trace de sesconnexions dans les journaux.\n\nLa soci\u00e9t\u00e9 Fox-It propose des signatures au format Snort afin\nd\u0027identifer toute tentative de connexion \u00e0 un \u00e9quipement Juniper\nvuln\u00e9rable via la porte d\u00e9rob\u00e9e.\n\nLa seconde vuln\u00e9rabilit\u00e9 permettait \u00e0 un attaquant, en capacit\u00e9\nd\u0027\u00e9couter le trafic VPN \u00e9mis depuis un \u00e9quipement concern\u00e9, de\nd\u00e9chiffrer ce trafic.\n\nLe CERT-FR recommande donc aux utilisateur de Juniper ScreenOS de\nproc\u00e9der \u00e0 une mise \u00e0 jour imm\u00e9diate du syst\u00e8me d\u0027exploitation. De plus,\nle CERT-FR insiste sur l\u0027importance d\u0027isoler l\u0027acc\u00e8s aux interfaces\nd\u0027administration des \u00e9quipements r\u00e9seaux afin de n\u0027autoriser que les\nconnexions depuis des syst\u00e8mes de confiance.\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l\u0027\u00e9diteur pour l\u0027obtention des\ncorrectifs (cf. section Documentation)\n",
"cves": [
{
"name": "CVE-2015-7755",
"url": "https://www.cve.org/CVERecord?id=CVE-2015-7755"
},
{
"name": "CVE-2015-7756",
"url": "https://www.cve.org/CVERecord?id=CVE-2015-7756"
}
],
"initial_release_date": "2015-12-18T00:00:00",
"last_revision_date": "2016-04-11T00:00:00",
"links": [
{
"title": "ScreenOS 6.3.0r22",
"url": "http://www.juniper.net/support/downloads/screenos.html"
},
{
"title": "Annonce Juniper",
"url": "http://forums.juniper.net/t5/Security-Incident-Response/Juniper-Networks-Completes-ScreenOS-Update/ba-p/290368"
},
{
"title": "R\u00e8gles Snort de d\u00e9tection d\u0027exploitation",
"url": "https://gist.github.com/fox-srt/ca94b350f2a91bd8ed3f"
},
{
"title": "CERTFR-2016-AVI-117",
"url": "http://www.cert.ssi.gouv.fr/site/CERTFR-2016-AVI-117/"
}
],
"reference": "CERTFR-2015-ALE-014",
"revisions": [
{
"description": "version initiale.",
"revision_date": "2015-12-18T00:00:00.000000"
},
{
"description": "ajout de r\u00e8gles Snort dans les contournements provisoires.",
"revision_date": "2015-12-21T00:00:00.000000"
},
{
"description": "cl\u00f4ture de l\u0027alerte",
"revision_date": "2016-04-11T00:00:00.000000"
}
],
"risks": [
{
"description": "Contournement de la politique de s\u00e9curit\u00e9"
}
],
"summary": "Une vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 d\u00e9couverte dans \u003cspan class=\"textit\"\u003eJuniper\nScreenOS\u003c/span\u003e. Elle permet \u00e0 un attaquant de provoquer un\ncontournement de la politique de s\u00e9curit\u00e9.\n",
"title": "Vuln\u00e9rabilit\u00e9 dans Juniper ScreenOS",
"vendor_advisories": [
{
"published_at": null,
"title": "Bulletin de s\u00e9curit\u00e9 Juniper SA10713 du 17 d\u00e9cembre 2015",
"url": "http://kb.juniper.net/InfoCenter/index?page=content\u0026id=JSA10713\u0026cat=SIRT_1\u0026actp=LIST"
}
]
}
Sightings
| Author | Source | Type | Date |
|---|
Nomenclature
- Seen: The vulnerability was mentioned, discussed, or seen somewhere by the user.
- Confirmed: The vulnerability is confirmed from an analyst perspective.
- Published Proof of Concept: A public proof of concept is available for this vulnerability.
- Exploited: This vulnerability was exploited and seen by the user reporting the sighting.
- Patched: This vulnerability was successfully patched by the user reporting the sighting.
- Not exploited: This vulnerability was not exploited or seen by the user reporting the sighting.
- Not confirmed: The user expresses doubt about the veracity of the vulnerability.
- Not patched: This vulnerability was not successfully patched by the user reporting the sighting.