Juniper Networks现后门:万能密码登录设备、可解密VPN流量

Juniper Networks发布紧急更新,修复ScreenOS上一个“未授权代码”。攻击者可以利用该漏洞解密NetScreen设备的VPN流量。

Juniper Networks

Juniper网络公司(中文名:瞻博网络)致力于实现网络商务模式的转型。作为全球领先的联网和安全性解决方案供应商,Juniper网络公司对依赖网络获得战略性收益的客户一直给予密切关注。公司的客户来自全球各行各业,包括主要的网络运营商、企业、政府机构以及研究和教育机构等。Juniper网络公司推出的一系列联网解决方案,提供所需的安全性和性能来支持全球最大型、最复杂、要求最严格的关键网络。

Juniper还没有对这个代码漏洞给予任何的评论,但是Juniper的产品已经被从国家安全局的产品目录中筛选了出来。2013年12月,Jacob Appelbaum、Judit Horchert和Christian Stocker在Der Spiegel发表的一篇文章中指出,NSA的FEEDTHROUGH植入是为Juniper防火墙量身定制的,给美国政府留下了一个永久后门,可随时访问这些高端网络设备。NetScreen应用是一款高端企业防火墙和VPN产品,被通信商和数据中心广泛使用,ScreenOS是运行在这些应用的操作系统。

内部代码审计发现两枚漏洞

Juniper高级副总裁兼首席信息安全官Bob Worrall称,在最近的内部代码审计过程中发现了两枚漏洞,影响ScreenOS 6.2.0r15—6.2.0r18,6.3.0r12—6.3.0r20版本

其中一个是未授权代码漏洞,可解密VPN流量;另外一个可允许攻击者通过SSH或者telnet远程管理访问设备。Juniper提到这些系统的访问会被记录,密码认证也会成功,但是攻击者可改变或者删除日志条目。

“当我们发现这些漏洞时,我们立即对这一问题进行了调查研究,开发并发布最新版本ScreenOS的修复方法。
目前为止我们并未收到这两个漏洞被利用的报道,但是我们还是强烈建议用户更新系统。”

SRX以及其他基于Junos的系统不受影响,Junos是该公司用于路由、交换、安全的一个高性能网络操作系统。

CVE-2015-7755细节:

利用该漏(hou)洞(men),攻击者可以通过SSH、Telnet以root身份远程登陆ScreenOS设备,直接获得设备控制权!通过shodan搜索可以发现:目前国内暴露在公网的netscreen设备数量为2172!

shodanhq

ssh root@存在漏洞设备的ip
后门密码:<<< %s(un='%s') = %u

ssh

backdoor

升级&修复指南:

http://puluka.com/home/techtalknetworking/screenoscriticalsecurityissue2015.html

 

Juniper ScreenOS后门是谁做的?

两个后门已有CVE编号,第一个CVE-2015-7755是关于远程非授权访问,说白了就是有一个密码,可以直接远程登录后完全管理设备。德国Fox-IT公司在Juniper发布补丁后的6个小时,分析出后门存在的代码位置,逆向出了该密码的明文。第二个CVE-2015-7756是可以解密VPN加密后流量,因为防火墙除了在网络边界过滤数据包之外,一般还启用VPN功能,把经过Internet传输的数据进行加密,防止在链路上进行监听。

这两个后门是在源代码中植入的,谁这么有本事?是什么动机呢?第二个后门最有可能的动机就是政府了,以反恐为说辞的大规模监控,就需要看到全互联网流量,VPN加密使政府变成了盲人,必须要使用技术手段把流量解密,一般人也没这个能力截取全网流量。

从技术上分析,是NSA吗?2013年底被公布的NSA ANT工具清单中,有一个FEEDTROUGH是专门针对Juniper NetScreen防火墙的植入,功能描述中提到“can receive and transmit covert channel comms”,是有一个隐蔽通道,不符合第一个后门堂而皇之用预留密码SSH登入的特性。“operates every time the particular Juniper firewall boots. The first hook takes it to the code...” 每次启动是hook一个检查来判断是否要正常启动,是一个动态的植入,而不是在源代码中永久性的植入。再说了,在源码中嵌入一个超级密码,这么Low的做法不是NSA的水准。

从非技术因素上分析,FBI也开始调查此事件了 --- 大水不能冲了龙王庙,那就不是米国人干的了。美国有官员告诉CNN,是外国势力所为,美国的情报机构没有做,最可疑的中国和俄罗斯。安全圈子的怀疑又加上了UK甚至以色列。

Juniper在公告中说后门是在“internal code review”过程中发现的,这个也值得怀疑。据说自2009年开始Juniper就集中精力到Junos了,最近也把Junos进行了开源,可以安装到其他白盒子上。谁还有工夫去看多年前的ScreenOS老代码呢?另据说ScreenOS的研发是在中国做的,有没有可能是内部码农被收买?无间道总是最精彩的故事。

 

【 参考来源threatpostRapid7Wired辛巴达历险记  Juniper Networks(瞻博网络)现后门:万能密码登录设备、可解密VPN流量

【安全脉搏:分享技术、悦享品质。文章仅代表作者看法,如有不同观点,欢迎添加安全脉搏微信号:SecPulse,进行交流。】

抢沙发

昵称*

邮箱*

网址

友情链接

合作伙伴