The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

Определён универсальный пароль для входа на межсетевые экраны Juniper ScreenOS

21.12.2015 14:52

Разработчики пакета Metasploit опубликовали результаты обратного инжиниринга бэкдора, на днях выявленного в межсетевых экранах Juniper ScreenOS. Так как компания Juniper привела лишь общие угрозы, которые несёт в себе бэкдор, многие энтузиасты подключились к изучению различий между поражёнными бэкдором прошивками и устраняющими проблемы обновлениями. Поверхностное сканирование сети показало, что в сети находятся несколько десятков тысяч потенциально уязвимых межсетевых экранов с открытыми вовне сервисами ssh или telnet. Всем администраторам межсетевых экранов Juniper рекомендуется срочно обновить прошивку, так как бэкдором теперь могут воспользоваться не только его создатели, но и любой желающий.

Часть бэкдора, обеспечивающая удалённый вход в систему с правами администратора, оказалась основана на использовании универсального пароля, который был закамуфлирован под код вывода отладочных данных. В частности, используя пароль "<<< %s(un='%s') = %u" в сочетании любым корректным именем пользователя (например, system) можно попасть в привилегированный shell устройств на базе Juniper ScreenOS.

Часть бэкдора, обеспечивающая возможность расшифровки VPN, может быть основана на использовании специально подобранного набора констант в генераторе псевдослучайных чисел EC PRNG, которые позволяли создателям данных констант восстановить значение случайного числа и восстановить ключи шифрования для установленного из ScreenOS VPN-соединения. Другой вариант получения доступа к VPN озвучен Мэтью Грином (Matthew Green), известным исследователем систем шифрования. Мэтью считает, что для восстановления ключей шифрования VPN достаточно утечки 30 байтов из raw-вывода штатного генератора случайных чисел Dual EC, на основании которых можно предсказать все дальнейшие генерируемые последовательности.

  1. Главная ссылка к новости (https://community.rapid7.com/c...)
  2. OpenNews: В межсетевых экранах Juniper выявлен бэкдор с функциями расшифровки трафика VPN
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/43559-juniper
Ключевые слова: juniper, backdoor
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (24) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.2, Аноним (-), 15:07, 21/12/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +26 +/
    Всем администраторам межсетевых экранов Juniper рекомендуется срочно обновить бэкдор.
    //fixed
     
     
  • 2.3, Andrey Mitrofanov (?), 15:14, 21/12/2015 [^] [^^] [^^^] [ответить]  
  • +5 +/
    >рекомендуется срочно обновить бэкдор.
    > //fixed

    Обновить же платную подписку на обновление бэкдоров[I]![/I]

     
  • 2.4, Наркоман (?), 15:32, 21/12/2015 [^] [^^] [^^^] [ответить]  
  • –11 +/
    Какие другие варианты, умник?
     
     
  • 3.5, evkogan (?), 15:37, 21/12/2015 [^] [^^] [^^^] [ответить]  
  • +4 +/
    > Какие другие варианты, умник?

    Может быть задуматься о замене поставщика?

     
     
  • 4.7, Нимано (?), 15:59, 21/12/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa
    > Undocumented Test Interface in Cisco Small Business Devices

    Шило на мыло ...

     
     
  • 5.11, тыц (?), 16:25, 21/12/2015 [^] [^^] [^^^] [ответить]  
  • +/
    "In March, 2013, Linksys was divested from Cisco and is now part of Belkin. For questions regarding all Linksys products, please contact the Belkin Incident Response Team at security@belkin.com."
     
     
  • 6.17, Нимано (?), 18:34, 21/12/2015 [^] [^^] [^^^] [ответить]  
  • +/
    > "In March, 2013, Linksys was divested from Cisco and is now part
    > of Belkin. For questions regarding all Linksys products, please contact the
    > Belkin Incident Response Team at security@belkin.com."

    https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0659
    > WRVS4400N router with firmware 1.x through 1.1.13

    https://software.cisco.com/download/release.html?mdfid=282446893&softwareid=28
    > Release Date 25-FEB-2009

    Они изобрели машину времени oO ?

     
  • 3.20, pavlinux (ok), 19:29, 21/12/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    D-Link адназначно!
     
  • 2.6, анон (?), 15:51, 21/12/2015 [^] [^^] [^^^] [ответить]  
  • +11 +/
    Всем администраторам Juniper с открытыми наружу ssh/telnet небходимо срочно подготовится к расширению индивидуальных бэкдоров начальством.
     
     
  • 3.27, Аноним (-), 23:51, 23/12/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Смешно. :D
     

  • 1.8, Аноним (-), 16:13, 21/12/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +4 +/
    Знатный получился эпикфейл.
    И тебе универсальный пароль, и предсказуемый генератор случайных чисел.
    Теперь кто-нибудь в здравом уме будет пользоваться их железками?
     
     
  • 2.16, nonymous (?), 18:09, 21/12/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/

    > Теперь кто-нибудь в здравом уме будет пользоваться их железками?

    А выбор у сетевиков особо есть? Я серьёзно, если что.

     
     
  • 3.21, RobotsCantPoop (?), 21:09, 21/12/2015 [^] [^^] [^^^] [ответить]  
  • +2 +/
    По-старинке -- куча сетевух в системнике, собственноручно настроенная ось. Хотя и это не даёт гарантий...
     
  • 3.24, aSkyRanger (?), 02:23, 22/12/2015 [^] [^^] [^^^] [ответить]  
  • –3 +/
    >> Теперь кто-нибудь в здравом уме будет пользоваться их железками?
    > А выбор у сетевиков особо есть? Я серьёзно, если что.

    Mikrotik

     
     
  • 4.25, . (?), 03:54, 22/12/2015 [^] [^^] [^^^] [ответить]  
  • +4 +/
    Хорошо пошутил, молодец.
     
  • 2.26, anonymous (??), 12:05, 22/12/2015 [^] [^^] [^^^] [ответить]  
  • +/
    ScreenOS вообще-то уже legacy.
     

  • 1.9, _KUL (ok), 16:18, 21/12/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    ScreenOS и JunOS это ведь однои тоже?! На srx100 не подходит ;'(
     
     
  • 2.10, _KUL (ok), 16:20, 21/12/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Ошибся, разного поля ягоды ...
     

  • 1.12, Сергей (??), 16:27, 21/12/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Ну если это в Juniper есть, то в циске и хуавее подано...
     
     
  • 2.14, Аноним (-), 17:03, 21/12/2015 [^] [^^] [^^^] [ответить]  
  • +/
    С цицками подобные скандалы ещё в середине 2000-х случались. Они тогда даже обещали засудить докладчиков, если те раскроют сведения на каком-то хакерском съезде.
     

  • 1.15, непонятно (?), 17:11, 21/12/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    > ...основана на использовании универсального пароля, который был закамуфлирован под код вывода отладочных данных.

    Вангую для аффторов бекдора первое место на http://www.ioccc.org/

     
  • 1.22, InventoRs (ok), 21:26, 21/12/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Вот и славный Juniper обосрался, железо у них хорошее, мне очень нравится, комиты, откаты, все шикарно, но вот так облажаться, это слов нету, ждем в JunOS что-то подобное, вот тогда надо готовиться к апокалипсису.

    К слову не много Juniper разочаровался, у меня EX3300 который держит несколько нод на кластере, так эта хрень тупо падает и перегружается, когда запускаю бэкапы, ноды подключены по 10Г к свичу, проблема в спец пакете который формируется во время бэкапа, который приводит к краху свича. juniper меня успешно отшили с этой проблемой, мол нет поддержки давай досвидания, ех написать бы крашилку под это дело, может тогда зашевелились бы.

     
  • 1.28, Аноним (-), 02:34, 24/12/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Update: Juniper has confirmed that the authentication backdoor only applies to revisions 6.3.0r17, 6.3.0r18, 6.3.0r19, and 6.3.0r20
     
  • 1.29, Аноним (29), 22:39, 24/12/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    TRTTRTR
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру