The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги | ]



"В продуктах Juniper исправлены 22 уязвимости"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"В продуктах Juniper исправлены 22 уязвимости"  +/
Сообщение от opennews (??), 11-Окт-18, 11:48 
В операционной системе  Junos, основанной на FreeBSD и используемой в различных сетевых устройствах компании Juniper, устранено 22 уязвимости (https://kb.juniper.net/InfoCenter/index?page=content&channel...). Большинство проблем позволяют удалённо инициировать отказ в обслуживании, вызвав крах  как отдельных сервисов (RPD - Routing Protocols Daemon, flowd, jdhcpd,  L2ALD, dcd, J-Web, telnetd ), так и ядра системы (https://kb.juniper.net/InfoCenter/index?page=content&id=JSA1...).


Кроме DoS-уязвимостей можно выделить следующие проблемы:


-  Возможность (https://kb.juniper.net/InfoCenter/index?page=content&id=JSA1...) удалённого получения root-доступа на устройство без прохождения аутентификации. Проблема проявляется только при активном сервисе RSH и при отключенном PAM;

-  Некорректная конфигурация SSHD в Juniper Device Manager (JDM) и устройствах Juniper NFX позволяет (https://kb.juniper.net/InfoCenter/index?page=content&id=JSA1...) получить удалённый доступ к системе без аутентификации, в случае если в системе задан хотя бы один пустой пароль (в настройках sshd разрешён вход с пустым паролем "PermitEmptyPasswords = yes");

-  Возможность (https://kb.juniper.net/InfoCenter/index?page=content&id=JSA1...) запросить по DHCP присвоение клиенту определённого IP, несмотря на действующую привязку к MAC-адресу.
-  6 уязвимостей (https://kb.juniper.net/InfoCenter/index?page=content&id=JSA1...) в Junos Space Network Management Platform, среди которых локальные уязвимости, позволяющие поднять свои привилегии и возможность выполнения произвольных локальных модулей PKCS#11 удалённым атакующим, получившим доступ к перенаправленному сокету ssh-агента;
-  6 уязвимостей (https://kb.juniper.net/InfoCenter/index?page=content&id=JSA1...) в демоне синхронизации точного времени (ntpd), среди которых проблема CVE-2018-7183 (https://security-tracker.debian.org/tracker/CVE-2018-7183), позволяющая удалённо выполнить код в системе через отправку специально оформленного ответа;
-  Возможность (https://kb.juniper.net/InfoCenter/index?page=content&id=JSA1...) получения полного контроля за шлюзами vSRX во время их загрузки.

URL: https://kb.juniper.net/InfoCenter/index?page=content&channel...
Новость: https://www.opennet.ru/opennews/art.shtml?num=49426

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "В продуктах Juniper исправлены 22 уязвимости"  –7 +/
Сообщение от Аноним (1), 11-Окт-18, 11:48 
Правильно я понимаю, что все эти многочисленные DoS-ы свойственны  и FreeBSD, но разработчики FreeBSD не утруждают себя выпуском security advisories для DoS и локальных повышений привилегий?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "В продуктах Juniper исправлены 22 уязвимости"  +11 +/
Сообщение от Аноним (2), 11-Окт-18, 12:00 
Juniper и FreeBSD это примерно как Рабинович и Beatles.
Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

4. "В продуктах Juniper исправлены 22 уязвимости"  +/
Сообщение от нах (?), 11-Окт-18, 12:11 
все правильно, разработчики freebsd считают проблему "permitemptypasswd=yes" (представляете, таки можно при этом зайти с пустым паролем, ну кто бы мог подумать?) находящейся в бестолковой прослойке между клавиатурой и креслом, и не видят смысла ее считать своей.

исключение - CVE-2018-7183, но это проблема, держитесь за кресло - ntpq. Каким образом жунипер умудрился сделать ее проблемой своего _сервера_ - загадка природы.

вероятно, какая-нибудь интуитивноприятная хрень внутри системы используется для мониторинга или чего еще, и при этом неразборчиво заглатывает пакеты не только с лупбэка, но и извне.

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

5. "В продуктах Juniper исправлены 22 уязвимости"  +7 +/
Сообщение от Аноним84701 (ok), 11-Окт-18, 12:24 
> Правильно я понимаю, что все эти многочисленные DoS-ы свойственны  и FreeBSD, но разработчики FreeBSD не утруждают себя выпуском security advisories для DoS  и локальных повышений привилегий?

В смысле:
— поставить (депрекейтнутый и настойчиво несоветуемый) remote shell (RSH), отключив PAM
— запустить sshd с "PermitEmptyPasswords = yes",  
— проигнонировать выпуск патчей (и адвизоря в придачу) для ntp CVE-2018-7183 https://www.freebsd.org/security/advisories/FreeBSD-SA-18:02...
> Module:         ntp
> Announced:      2018-03-07
> V.   Solution
> Perform one of the following:
>  1) Upgrade your vulnerable system to a supported FreeBSD stable or release / security branch (releng) dated after the correction date.

— запилить свой блекдже^W вебтырьфейс с XSS и прочим радостями
— собственную дырявую НЁХ типа "A vulnerability in the Routing Protocols Daemon (RPD) with Juniper Extension Toolkit (JET)"

в пингвине нельзя? Тогда да, правильно.

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

7. "В продуктах Juniper исправлены 22 уязвимости"  +/
Сообщение от нах (?), 11-Окт-18, 12:41 
> в пингвине нельзя?

видимо, "получить локальный доступ без аутентификации" при перезагрузке и прямом доступе к консоли в нем тоже нельзя ;-)

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

9. "В продуктах Juniper исправлены 22 уязвимости"  –1 +/
Сообщение от PnDx (ok), 11-Окт-18, 12:54 
Таки можно. Заменив так или иначе sulogin на что попроще (bash например).
Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

8. "В продуктах Juniper исправлены 22 уязвимости"  +2 +/
Сообщение от eRIC (ok), 11-Окт-18, 12:48 
> Правильно я понимаю, что все эти многочисленные DoS-ы свойственны  и FreeBSD,
> но разработчики FreeBSD не утруждают себя выпуском security advisories для DoS
> и локальных повышений привилегий?

НЕТ! эта реализация на стороне Juniper что в итоге дает эти уязвимости в ней.


Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

3. "В продуктах Juniper исправлены 22 уязвимости"  –2 +/
Сообщение от Michael Shigorinemail (ok), 11-Окт-18, 12:01 
> PermitEmptyPasswords = yes

ЭнтерпрайзЪ.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

11. "В продуктах Juniper исправлены 22 уязвимости"  +/
Сообщение от ыы (?), 11-Окт-18, 16:04 
Сказал - как отрезал...
Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

18. "В продуктах Juniper исправлены 22 уязвимости"  +3 +/
Сообщение от Фобосгрунт (?), 12-Окт-18, 00:57 
А вот у нас в альтлинуксе™ⓡ!..
Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

20. "В продуктах Juniper исправлены 22 уязвимости"  +1 +/
Сообщение от Аноним (-), 12-Окт-18, 07:12 
А у них в альтлинуксе пакеты собирают роботы, тупым ребилдом. Живые майнтайнеры отвечающие за пакет? Ну вон Шигорин за ffmpeg вроды как отвечает. Я бы с интересом послушал насколько он в этой софтине и ее процессе разработки разбирается. Ну вот например - сорец этой штуки он открывал? А взаимоотношения этой штуки с гуглороботом-fuzzer'ом он знает? Раз уж хвастается - так интересно - и правда есть чем?
Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

31. "В продуктах Juniper исправлены 22 уязвимости"  +1 +/
Сообщение от AS (??), 12-Окт-18, 22:28 
хвастовства за ним не заметил. за 10 лет. - только травлю его необоснованую. в последние годы(2) .. раскадровки по проблемам нет - одна фокусировка - вигали фигачишь?? - зуб даю - очкарик работает хоть ф сфере а ты проходимец..
Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

39. "В продуктах Juniper исправлены 22 уязвимости"  +3 +/
Сообщение от Аноним (-), 13-Окт-18, 14:54 
> хвастовства за ним не заметил. за 10 лет.

Зато заметил я - из него лезет ш-винизм и реклама альта, при том все сводится к рассказу какие конкуренты нехорошие, без уточнения чем сватаемая замена лучше них.

> - только травлю его необоснованую.

А на мой вкус он неплохо другим по мозолям проходиться умеет и то что за это к нему не очень хорошо относятся - ожидаемо, чтоли. Я это ощутил на лично своем примере - в своей агрессивной расклейке ярлыков этот господин не раз портил мне настроение. Ну и ему грех обижаться на возникновение взаимных симпатий.

> в последние годы(2) .. раскадровки по проблемам нет - одна
> фокусировка - вигали фигачишь?? - зуб даю - очкарик работает хоть
> ф сфере а ты проходимец..

У меня по итогам фигачения новостей на опеннет чуть другой титул на самом деле. Правда я таки *бывший* автор опеннета. Во многом благодаря активности которую развил мистер Шигорин с своей нетерпимостью и агрессией, прущей из него периодически и тем кого он приволок.

TL;DR: я не считаю что мистер Шигорин в контексте опеннета помог налаживанию конструктивных процессов или хорошей атмосфере на ресурсе. А то что он называется модератором - соответственно, грубое несоответствие занимаемой должности. Это мое частное мнение и я его не навязываю. Но все же когда Макс потом выдает мысль что хочет новости про *коины - я делаю жуткий фэйспалм.

Ответить | Правка | ^ к родителю #31 | Наверх | Cообщить модератору

41. "В продуктах Juniper исправлены 22 уязвимости"  +/
Сообщение от Аноним (41), 15-Окт-18, 08:36 
> из него лезет ш-винизм и реклама альта, при том все сводится к рассказу какие конкуренты нехорошие, без уточнения чем сватаемая замена лучше них.

Ты уж определись. Шовинизм или реклама и что к чему сводится.

> Я это ощутил на лично своем примере

А что ты хотел!? Ты ж Аноним.

> Это мое частное мнение и я его не навязываю

- Ваше мнение никому не интересно.
- Да, но я вам его сказал.

И...?

Ответить | Правка | ^ к родителю #39 | Наверх | Cообщить модератору

44. "В продуктах Juniper исправлены 22 уязвимости"  +/
Сообщение от Фобосгрунт (?), 17-Окт-18, 12:33 
Твоё мнение тоже никому не было интересно. А наличие шигорина здесь в модераторах — ещё один шаг на   пути в ад и чебурашизацию.
Ответить | Правка | ^ к родителю #41 | Наверх | Cообщить модератору

25. "В продуктах Juniper исправлены 22 уязвимости"  +/
Сообщение от Ilya Indigo (ok), 12-Окт-18, 14:20 
Я вообще удивлён что в sshd такая опция существует!
Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

6. "В продуктах Juniper исправлены 22 уязвимости"  +6 +/
Сообщение от F (?), 11-Окт-18, 12:25 
На фоне проблем Микротика траблы Джуна мелки и никого не волнуют!
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

10. "В продуктах Juniper исправлены 22 уязвимости"  –1 +/
Сообщение от Аноним (10), 11-Окт-18, 15:38 
> устранено 22 уязвимости

Традиционный вопрос: в процентах это сколько?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

12. "В продуктах Juniper исправлены 22 уязвимости"  –9 +/
Сообщение от Business Edition (?), 11-Окт-18, 16:05 
Это поверхностные дыры, просто BSD никому не интересна в отличии от пингвина.
Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

15. "В продуктах Juniper исправлены 22 уязвимости"  +/
Сообщение от AS (??), 11-Окт-18, 21:35 
Дыры есть дыры. пролезут в твой "бусинесс нетворк" - о том какие они тебя будет интересовать в последнюю очередь.
Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

13. "В продуктах Juniper исправлены 22 уязвимости"  –1 +/
Сообщение от Gannetemail (ok), 11-Окт-18, 20:18 
Всего-лишь 22 уязвимости, хэх... 8/
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

16. "В продуктах Juniper исправлены 22 уязвимости"  +2 +/
Сообщение от Аноним (16), 11-Окт-18, 23:20 
> Всего-лишь 22 уязвимости, хэх... 8/

Так это только устранённых :D

Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

32. "В продуктах Juniper исправлены 22 уязвимости"  +/
Сообщение от Gannetemail (ok), 13-Окт-18, 01:37 
>> Всего-лишь 22 уязвимости, хэх... 8/
> Так это только устранённых :D

Плюсую.

Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

14. "В продуктах Juniper исправлены 22 уязвимости"  +1 +/
Сообщение от DmA (??), 11-Окт-18, 21:05 
Прочитали похоже они доклад на опеннете, о найденных уявимостях
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

17. "В продуктах Juniper исправлены 22 уязвимости"  +1 +/
Сообщение от Потный (?), 11-Окт-18, 23:27 
PermitEmptyPasswords = yes

А чё, так можно было?!

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

42. "В продуктах Juniper исправлены 22 уязвимости"  +/
Сообщение от Аноним (41), 15-Окт-18, 08:43 
Конечно можно - любой каприз за ваши деньги.
Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

19. "В продуктах Juniper исправлены 22 уязвимости"  –8 +/
Сообщение от Sfinx (ok), 12-Окт-18, 05:43 
и кто-то пользуется этим дер#ьмом ? помнится лет 10 назад его безуспешно пытались двигать в СНГ сетевым маркетингом потные и злые мальчики. Особенно их бесило упоминание OpenWRT и Linux ;)
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

21. "В продуктах Juniper исправлены 22 уязвимости"  –3 +/
Сообщение от пох (?), 12-Окт-18, 12:01 
да, ты пользуешься, например, сейчас.

> Особенно их бесило упоминание OpenWRT и Linux

тебе показалось. их бесила твоя некомпетентность и то что твой начальник такого притащил с собой на совещание для взрослых.

иди, расскажи ростелекому или, скажем, пчелайну что их оборудование надо выкинуть и заменить на пластиковые мыльницы с вжoпeнврт.

Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

22. "В продуктах Juniper исправлены 22 уязвимости"  –1 +/
Сообщение от Sfinx (ok), 12-Окт-18, 12:49 
не, не пользуюсь, в Европе гавно не в почете как у тебя. А бесило их то, что такая же железка за $25 под Linux делала все лучше и быстрее. А главное безопаснее.
Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

24. "В продуктах Juniper исправлены 22 уязвимости"  +/
Сообщение от zanswer CCNA RS S (?), 12-Окт-18, 13:54 
Даже не могу представить, о чём идёт речь, что за устройство 25$ за вы противопоставляете всей линейке продуктов Juniper.
Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

26. "В продуктах Juniper исправлены 22 уязвимости"  –3 +/
Сообщение от Sfinx (ok), 12-Окт-18, 16:43 
разочарую, $25 железо стоило в то время - это был еще MIPS. Сейчас  плата на AllWinner стартует с $5 (NanoPI семейство for ex.). А для осуществления функции роутера достаточно всего 2-ух интерфейсов... Продуктом это дерьмо назвать очень сложно, это надо иметь пипец какую фантазию ж)
Ответить | Правка | ^ к родителю #24 | Наверх | Cообщить модератору

27. "В продуктах Juniper исправлены 22 уязвимости"  +/
Сообщение от zanswer CCNA RS S (?), 12-Окт-18, 16:56 
Для задач маршрутизации дома, возможно такоготустройства и хватит, но, что делать операторам? Juniper в первую очередь делает продукты для операторов и бизнеса, даже не для SOHO.
Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

29. "В продуктах Juniper исправлены 22 уязвимости"  +/
Сообщение от Andrey Mitrofanov (?), 12-Окт-18, 17:16 
> Для задач маршрутизации дома, возможно такоготустройства и хватит, но, что делать операторам?
> Juniper в первую очередь делает продукты для операторов и бизнеса, даже
> не для SOHO.

Прочь полумеры, только Альт -- никаких мыльниц (он не лезет в) !
http://www.opennet.ru/openforum/vsluhforumID3/115492.html#102

Ответить | Правка | ^ к родителю #27 | Наверх | Cообщить модератору

43. "В продуктах Juniper исправлены 22 уязвимости"  +/
Сообщение от Sfinx (ok), 17-Окт-18, 09:46 
> Для задач маршрутизации дома, возможно такоготустройства и хватит, но, что делать операторам?
> Juniper в первую очередь делает продукты для операторов и бизнеса, даже
> не для SOHO.

Суть дела не меняет - используются другие карты и другое железо, но тот же скрепный Linux внутри ;) Все зависит от задач, вот прям сейчас работаю с железякой у которой 8 x 10GbE и 2 x 40GbE. Делать то может они и делают - но кто ж им пользуется в успешном мире ? Как по мне - это кривые поделия для бедных, не более

Ответить | Правка | ^ к родителю #27 | Наверх | Cообщить модератору

30. "В продуктах Juniper исправлены 22 уязвимости"  +2 +/
Сообщение от Аноним (30), 12-Окт-18, 21:40 
> А для осуществления функции роутера достаточно всего 2-ух интерфейсов.

Сразу видно админа локалхоста. Нормальному роутеру достаточно 1-го физического сетевого интерфейса.

Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

34. "В продуктах Juniper исправлены 22 уязвимости"  –1 +/
Сообщение от Sfinx (ok), 13-Окт-18, 07:01 
ну да - lo ;)
Ответить | Правка | ^ к родителю #30 | Наверх | Cообщить модератору

38. "В продуктах Juniper исправлены 22 уязвимости"  +/
Сообщение от Аноним (38), 13-Окт-18, 14:42 
> ну да - lo ;)

Это ему наверное на vlan так намекнули. И таки это умеет даже половина мыльниц с openwrt нынче. А вот если админ не в курсе что так можно было и что при таком раскладе достаточно 1 интерфейса...

Ответить | Правка | ^ к родителю #34 | Наверх | Cообщить модератору

28. "В продуктах Juniper исправлены 22 уязвимости"  +/
Сообщение от Sb (??), 12-Окт-18, 16:58 
Да ладно, не кормите тролля. Он считает, что мыльница с этим софтом справится на магистралях и всеми теми объёмами. Этожтотжежлинуксж!

Вообще конечно интересно, как раньше такое было нормой. Зайти в консоль не значило, что ты что-то можешь :)

Ответить | Правка | ^ к родителю #24 | Наверх | Cообщить модератору

35. "В продуктах Juniper исправлены 22 уязвимости"  +/
Сообщение от Sfinx (ok), 13-Окт-18, 07:05 
> Да ладно, не кормите тролля. Он считает, что мыльница с этим софтом
> справится на магистралях и всеми теми объёмами. Этожтотжежлинуксж!
> Вообще конечно интересно, как раньше такое было нормой. Зайти в консоль не
> значило, что ты что-то можешь :)

что ж ты мыльницы на магистрали-то суешь. а... такие у тебя "магистрали"... ну тогда на них можно легко и гавнююпер ставить.

Ответить | Правка | ^ к родителю #28 | Наверх | Cообщить модератору

37. "В продуктах Juniper исправлены 22 уязвимости"  –1 +/
Сообщение от Аноним (38), 13-Окт-18, 14:36 
> иди, расскажи ростелекому или, скажем, пчелайну что их оборудование надо выкинуть и
> заменить на пластиковые мыльницы с вжoпeнврт.

А два самых кривых и проблемных провайдера - специально выбраны или есть какие-то корреляции с обсудаемым предметом? :)

Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема


  Закладки на сайте
  Проследить за страницей
Created 1996-2018 by Maxim Chirkov  
ДобавитьПоддержатьВебмастеруГИД  
Hosting by Ihor