FC2ブログ

下流ネットワークエンジニアの生活

上流工程を夢見る下流工程のネットワークエンジニアがネットワーク技術や資格、身の回りのことを情報発信! Juniper Cisco YAMAHA DELL D-Link AlaxalA F5 CCNA CCNP CCIE ネットワークスペシャリスト

Juniper Networks JUNOS の J-Web に任意のコードを実行される問題

2013.11.29 (Fri)
J-Web の処理が原因でセキュリティホールの存在が公表された。

このセキュリティホールを利用された場合、
認証された攻撃者に任意のコードを実行される可能性があるとのこと。

これは Juniper Networks Junos OS の J-Web において、
jsdm・ajax・port.php のパラメータの処理を適切に行っていないため、
任意のコードを実行できることが原因。

この問題によりシステムはJ-Webの認証された攻撃者に
細工されたリクエストを送信されることで、
システム上で任意のコードを実行されたり、
他のユーザのセッション ID を読み取られたりする可能性がある。


※この問題はJ-Webを有効にしている場合にのみ影響を受ける。


■影響を受けるバージョン

12.3
12.2
12.1
11.4
10.4







■対処方法

・12.3
→Junos OS 12.3R1アップデート

・12.2
 →Junos OS 12.2R3アップデート

・12.1
 →Junos OS 12.1R5アップデート

・11.4
 →Junos OS 11.4R7アップデート

・10.4
 →Junos OS 10.4R13にアップデート



●バージョンアップ以外の一時回避策

J-Webを無効にする。

J-Webへのアクセスを信頼できるホストにのみ制限する。



応援クリックをお願いします。
にほんブログ村 IT技術ブログ ネットワーク・SEへブログ王ランキングに参加中!



関連記事
スポンサーサイト



コメント


管理者のみに表示

トラックバック