Plus de 11 500 appareils Juniper Networks sont exposés à une nouvelle vulnérabilité d’exécution de code à distance (RCE), et les chercheurs en sécurité informatique pressent les administrateurs d’appliquer de toute urgence les correctifs.
Il s’agit en quelque sorte d’un scénario répété pour Juniper Networks, qui n’a que récemment corrigé la dernière série de bogues RCE critiques dans Junos OS, qui fonctionne sur les pare-feu SRX et les commutateurs EX.
La dernière vulnérabilité, identifiée comme CVE-2024-21591, affecte l’interface de configuration J-Web du logiciel et présente un score de gravité CVSS de 9,8, le même que l’exploit d’août, dont une plate-forme de renseignement sur les menaces nous a dit que la grande majorité des gens ne s’en souciaient pas. patch.
Le données Les données recueillies par Censys ont confirmé le nombre d’expositions, et les analyses ont révélé que la plupart des appareils exposés affichaient également leurs numéros de modèle. Le pare-feu SRX110H2-VA était de loin le plus exposé : un appareil qui est arrivé en fin de vie (EOL) en 2018.
La Corée du Sud comptait le plus grand nombre d’interfaces J-Web exposées avec 3 797, suivie par les États-Unis avec 1 326. Hong Kong, troisième, détenait moins de la moitié des expositions aux États-Unis avec 583, et la Chine, quatrième, en avait 455 au 11 janvier.
En ce qui concerne les détails du problème, un attaquant peut exploiter la faille d’écriture hors limites pour atteindre divers objectifs finaux, notamment l’obtention des privilèges root, provoquant un déni de service, ou RCE, le tout sans avoir besoin d’authentification.
Les vulnérabilités d’écriture hors limites sont le principal responsable des problèmes de sécurité, selon MITRE, et font partie de l’ensemble des bogues que l’industrie tente d’éliminer en passant à des langages sécurisés en mémoire, notamment Rust.
Juniper Networks a déclaré que son équipe de réponse aux incidents n’avait encore détecté aucun signe d’exploitation dans la nature, mais que tout pourrait changer dans les jours suivant la divulgation de vulnérabilités, en particulier lorsque l’équipement EOL est impliqué.
Les logiciels suivants sont vulnérables et les correctifs doivent être appliqués dès que possible :
Versions Junos OS antérieures à 20.4R3-S9
Versions Junos OS 21.2 antérieures à 21.2R3-S7
Versions Junos OS 21.3 antérieures à 21.3R3-S5
Versions Junos OS 21.4 antérieures à 21.4R3-S5
Versions Junos OS 22.1 antérieures à 22.1R3-S4
Versions Junos OS 22.2 antérieures à 22.2R3-S3
Versions Junos OS 22.3 antérieures à 22.3R3-S2
Versions Junos OS 22.4 antérieures à 22.4R2-S2, 22.4R3
Pour ceux qui ne peuvent pas appliquer les correctifs rapidement, la solution de contournement suggérée consiste à « désactiver J-Web ou à limiter l’accès aux seuls hôtes de confiance », indique Juniper Networks. consultatif lire.
Cette divulgation intervient des mois après que la Cybersecurity and Infrastructure Security (CISA) des États-Unis a publié une directive opérationnelle contraignante (23-02) soulignant les dangers d’exposer les interfaces de gestion au Web public.
Les agences fédérales sont tenues soit de cesser d’exposer les interfaces à l’Internet public, soit de garantir qu’elles sont protégées avec des capacités alignées sur le principe de confiance zéro, la CISA préférant cette dernière solution. Les organisations classiques devraient probablement faire de même, après avoir appliqué les correctifs.
Par ailleurs, Juniper Networks pourrait bientôt faire partie de HPE, ce qui doublerait effectivement l’activité du segment des réseaux du géant de l’informatique d’entreprise.
HPE a officiellement annoncé son intention d’acheter Juniper la semaine dernière dans le cadre d’un accord qui pourrait coûter environ 14 milliards de dollars – la plus grande acquisition de l’entreprise depuis un certain temps.
L’accord le plus récent de cette ampleur remonte à 2011 pour Autonomy, et nous nous souvenons tous de cette débâcle notoire. ®
2024-01-15 22:34:00
1705348843
#Des #milliers #dappareils #Juniper #Networks #vulnérables #bug #RCE #critique #Register
