مرکز آپا دانشگاه کردستان

آسیب‌پذیری‌های چندگانه در سیستم عامل Juniper Junos می‌تواند موجب حمله منع سرویس شود

نظری اجمالی: اخیرا آسیب‌پذیری‌های متعددی در سیستم عامل Juniper Junosکشف‌ شده است که شدید‌ترین آن می‌تواند موجب حمله منع‌ سرویس شود. Juniper Junos سیستم‌عامل رایجی است که در مسیریابی، سویچینگ و محصولات امنیتی Juniper Networks اجرا می‌شود. در صورت فعال بودن پروتکل رزرو منابع (RSVP) در رابط کاربری سیستم هدف این آسیب‌پذیری‌ها می‌تواند منجر به حمله منع سرویس (DOS) شود. RSVP اغلب توسط روترها برای تحویل درخواست‌های کیفیت خدمات یا (QOS) به همه نود یا گره‌ها در طول مسیر جریان و همچنین برای ایجاد و حفظ یک حالت یا state برای خدمات درخواست‌شده مورد استفاده قرار می‌گیرد. اگر رابط کاربری هدف پیام‌های ساختگی یا ناقص را از RSVP PATH دریافت کند، پروتکل مسیریابی RPD ممکن است تعلیق شود و یا آسیب ببیند و وقتی RPD خارج از دسترس قرار گیرد، بروزرسانی‌های مسیریابی نمی‌توانند پردازش شوند که این امر می‌تواند موجب قطع گسترده‌ شبکه شود. تهدید امنیتی : در‌حال‌حاضر هیچ گزارشی مبنی بر سوء استفاده از این آسیب‌پذیری‌ها در دنیای بیرون ارائه نشده است. سیستم‌های تحت‌تاثیر این آسیب‌پذیری‌ها : تمام محصولات و پلتفرم‌هایی که از سیستم‌عامل Junos استفاده می‌کنند. خلاصه فنی: جزئیات این آسیب‌پذیری‌ها که منجر به حمله منع سرویس یا DOS به شرح زیر است: • یک آسیب‌پذیری use-after-free که در برابر rpcbind می‌تواند به مهاجم اجازه‌ی DOS یا منع سرویس را بدهد. ابزار rpcbind یک سرور می‌باشد که شماره برنامه RPC را به آدرس‌های جهانی تبدیل می‌کند‌ ، یا به عبارتی portmaping را انجام می‌دهد(CVE-2015-7236). • یک آسیب‌پذیری با دسترسی نامحدود که می‌تواند به مهاجم غیر‌مجاز نامعتبر کنترل کامل سیستم را بدهد. (CVE-2018-0024). • یک آسیب‌پذیری افشای اعتبار که می‌تواند به یک اعتبار گرفته شده اجازه دهد که به عنوان مشتری یا client اعتبار یا گواهی خود را در یک جلسه اولیه http یا https در دستگاه‌های سری SRX ارسال کنند، البته زمانی که برای استفاده از سرویس تصدیق و اعتبارسنجی HTTP/HTTPS پیکر‌بندی شده باشند(CVE-2018-0025). • یک آسیب‌پذیری در پیکربندی فیلتر فایروال سیستم که پس از راه اندازی مجدد یا به‌روزرسانی سیستم‌عامل junos اتفاق می‌افتد(CVE-2018-0026). • یک آسیب‌پذیری منع سرویس که ناشی از دریافت یک پیغام ساختگی از RSVP PATH است که می‌تواند به قطع شبکه گسترده منجر شود. اگر RSVP فعال نباشد، این آسیب‌پذیری نمی‌تواند از طریق رابط کاربری ایجاد شود (CVE-2018-0027). • یک آسیب‌پذیری که می‌تواند باعث خرابی سیستم و راه اندازی مجدد آن پس از قرار‌دادن رابط Fxp0 به حالت پیش‌فرض از طریق‘monitor traffic interface fxp0’ شود (CVE-2018-0029). • یک آسیب‌پذیری منع سرویس توسط اعلام وصول و رسیدن یک بسته‌ی MPLS مخصوص که می‌تواند موجب MPC7/8/9, PTX-FPC3 (FPC-P1, FPC-P2) line card یا PTX1K شود که باعث سقوط فرایند و ریستارت پشت سر هم می‌شود (CVE-2018-0030). • یک آسیب‌پذیری منع سرویس که ناشی از دریافت بسته‌های ساختگی UDP/IP از طریق MPLS است که می‌تواند برای دور‌زدن یک فیلتر فایروال بدون حالت استفاده شود(CVE-2018-0031). • یک آسیب‌پذیری منع سرویس که ناشی از دریافت مکرر BGP UPDATES ساختگی است و می‌تواند روند فرایند مسیر‌یابی را به صورت تکراری به سمت سقوط فرایند و ریستارت ببرد. (CVE-2018-0032). • یک آسیب‌پذیری موجود در دستگاه‌های QFX5200 و QFX10002 که با سیستم عامل Junos نسخه‌های 15.1X53-D21، 15.1X53-D30، 15.1X53-D31، 15.1X53-D32، 15.1X53-D33 و 15.1X53-D60 عرضه می‌شود یا با استفاده از تصاویر .bin یا .iso به این نسخه‌ها ارتقا یافته است. این دستگاه‌ها ممکن است دارای یک پارتیشن اضافی و غیر‌عمدی (Open Network Uninstall Environment (ONIE باشند، این پارتیشن اضافی اجازه می‌دهد تا کاربر اصلی(superuser) بتواند پارتیشن ONIE را راه‌اندازی مجدد کند که موجب پاک شدن پیکربندی محتوای پارتیشن Junos می‌شود (CVE-2018-0035). • یک آسیب‌پذیری منع سرویس که ناشی از دریافت بسته‌های DHCP IPv6 بر روی یک سیستم پیکربندی شده برای پردازش DHCP با استفاده از JDHCPD است که می‌تواند مهاجم را به هسته JDHCPD متصل کند (CVE-2018-0034). • یک آسیب‌پذیری منع سرویس که ناشی از دریافت مکرر BGP NOTIFICATION می‌باشد می‌تواند موجب تخریب مکرر فرآیند پروتکل مسیریابی (RPD) گردد. این آسیب‌پذیری هم‌چنین می‌تواند به اجرای کد از راه دور منجر شود در حالی که پیام‌های BGP NOTIFICATION را پردازش می‌کند. توصیه‌ها: • بلافاصله پس از آزمایش مناسب، وصله یا patch مناسب ارائه‌شده توسط Juniper به سیستم‌های آسیب‌پذیر اعمال شود. • فایروال‌ها و دستگاه‌های تشخیص و جلوگیری از نفوذ (IDS,IPS) برای هشدار در مورد ناهنجاری‌های ترافیکی پیکربندی گردند. • ایجاد و حفظ همکاری‌های مؤثر با ارائه دهندگان سرویس شبکه‌های بالادستی شما و دانستن اینکه در صورت حمله DDoS چه کمک‌هایی از طرف آنها برای شما فراهم می‌شود. • در مورد‌ حمله DDOS ، هرچه ارائه‌دهنده سرویس بتواند سریعتر بلوک‌های ترافیکی و استراتژی‌های کاهش را در این مرحله اجرا کند، خدمات شما زودتر برای کاربران قانونی در دسترس خواهد بود. • اصل POLP یا Principle of Least Privilege را به همه‌ی سیستم‌ها و سرویس‌ها اعمال کنیم.