Сетевые продукты Juniper Networks стали безопаснее

Американский производитель телекоммуникационного оборудования устранил десятки уязвимостей.

Американский производитель телекоммуникационного оборудования Juniper Networks выпустил обновление безопасности, затрагивающее целый набор продуктов для провайдеров и крупных корпораций. Патчи повышают стабильность работы программ, разработанных компанией, и укрепляют защиту пользовательских данных.

Значительная часть заплаток относится к операционной системе JUNOS, на которой работает большинство решений Juniper Networks. Одна из самых серьезных брешей — CVE-2018-0016 — позволяла вызвать критическую ошибку в работе сетевого устройства или выполнить на нем сторонний код.

Уязвимость CVE-2018-0021 открывала возможность для MitM-атаки — злоумышленник мог подобрать секретные пасс-фразы, которыми обмениваются продукты Juniper Networks.

Большой пакет исправлений затронул Juniper Networks Network and Security Manager — унифицированную систему управления сетевой инфраструктурой. Часть устраненных уязвимостей позволяла вызвать сбои в работе решения, а в отдельных случаях — вести MitM-атаки.

К отказу в обслуживании могли также привести бреши под индексами CVE-2018-0019 и CVE-2018-0017. Первая затрагивала SNMP-подсистемы (Simple Network Management Protocol, простой протокол сетевого управления), помогающие администраторам контролировать устройства в IP-сетях, вторая — межсетевые экраны серии SRX. Ошибки в последних подвергали угрозе конфиденциальность пользовательских данных — уязвимость CVE-2018-0018 позволяла обойти установленные администратором правила и получить контроль над устройствами и системами внутри контура сетевой безопасности.

Утечками информации грозила и брешь CVE-2015-2080, обнаруженная в одном из элементов продукта Juniper Networks для авторизации, аутентификации и учета пользователей. Система Steel-Belted Radius Carrier используется для интеграции решений для бизнес-аналитики в сетевую инфраструктуру, что повышает потенциальный ущерб от ее компрометации.

Два патча касались утилиты stunnel, которая обеспечивает установку зашифрованных соединений без применения протоколов TLS и SSL. В одном случае взломщик мог узнать приватные ключи к сертификатам цифровой подписи (CVE-2014-0016), в другом — использовать старые сертификаты для обхода процедур аутентификации (CVE-2008-2420).

Уязвимость CVE-2017-100038 связана с обнаруженной в декабре проблемой криптографического протокола TLS. Как сообщил производитель, известная почти 20 лет ошибка в алгоритме обработки шифровальных ключей RSA влияла на работу контроллера Juniper Networks NorthStar, который используется в крупных провайдерских и корпоративных сетях.

Уязвимость CVE-2018-0022 могла привести к вынужденной перезагрузке коммутатора из-за нехватки памяти для сетевых операций. Брешь в консоли администратора Junos Snapshot Administrator — CVE-2018-0023 — позволяла пользователям редактировать файлы с сетевыми настройками без получения надлежащих прав.

Сразу три заплатки устранили проблемы, связанные с ошибками криптографического пакета OpenSSL, о которых его разработчики сообщили в декабре. Они позволяли злоумышленникам манипулировать с цифровыми сертификатами, чтобы попытаться обойти ограничения доступа к сетевым ресурсам.

В комментариях к патчам производитель сообщил, что ему не известно о случаях злоупотребления какими-либо из выявленных уязвимостей.

Ваш голос учтён!

нравится

не нравится

Рейтинг:

0

Всего голосов: 0

Новые материалы в Разное:

RuStore открыл доступ иностранным разработчикам   // 08 февраля

CISA опубликовало декриптор в помощь жертвам шифровальщика ESXiArgs   // 08 февраля

Google обещает блюрить непристойные и жестокие картинки поиска   // 08 февраля

Бизнес предлагает продавать алкоголь по 2FA   // 08 февраля