Juniper Networks SRX シリーズおよび EX シリーズにおける複数の

NOX20150057-T
2015 年 7 月 10 日
ユーザー・パートナー各位
ノックス株式会社
技術本部
Juniper Networks SRX シリーズおよび EX シリーズにおける
複数の脆弱性について(2015 年 7 月)
拝啓
貴社ますますご盛栄の事とお喜び申し上げます。平素は格別のご高配を賜り、厚く御礼申し上げます。
さて、Juniper Networks 社より、Juniper Networks SRX シリーズおよび EX シリーズにおいて、複数の脆
弱性の報告がございましたので、下記の通りご案内させて頂きます。
敬具
記
アラート項目
1. J-Web のエラーハンドリングに伴う複数の脆弱性(CVE-2014-6447)について
2. 'set system ports console insecure' コマンドが動作しないことによる脆弱性
(CVE-2015-3007)について
3. TCP LAST_ACK 状態のスタックに伴う mbuf の枯渇 (CVE-2015-5358)について
4. local-preference 値の変更に伴う RPD のクラッシュ(CVE-2015-5359)について
5. SEND パケットによる DoS の脆弱性(CVE-2015-5360)について
6. BFD のクラッシュ(CVE-2015-5362)について
7. NSD の DoS の脆弱性(CVE-2015-5363)について
1． J-Web のエラーハンドリングに伴う複数の脆弱性(CVE-2014-6447)について
【アラート内容】
SRX シリーズおよび EX シリーズにおいて、J-Web のエラーハンドリングにより、クロスサイトスクリプティング
脆弱性、もしくは J-Web のサービスがクラッシュする可能性があります。
クロスサイトスクリプティング脆弱性は、悪意のある攻撃者によって遠隔から管理者のユーザ名/パスワードと
いった機密情報を盗まれる恐れや、管理者のブラウザを通して管理者権限のアクションを実行される可能
性があります。
尚、本アラートは CVE-2014-6447 に該当致します。
【今後の対応について】
弊社サポートサイトにて公開されております以下の対応ファームウェアへアップグレードして頂くか、以下の
ワークアラウンドにて対応して頂けますようお願い致します。
【該当する機器】
SRX シリーズ
EX シリーズ
【危険度】
Medium
【該当するファームウェア】
Junos 12.X
【対応するファームウェア】
Junos 12.1X44-D45 以降
Junos 12.1X46-D30 以降
Junos 12.1X47-D20 以降
Junos 12.3X48-D10 以降 (近日公開予定)
Junos 12.3R8 以降
【ワークアラウンド】
J-Web を無効にするか、信頼できるネットワークからのみアクセスを許可する事でリスクを軽減する事が可
能です。
2． 'set system ports console insecure'コマンドが動作しないことによる脆弱性(CVE-2015-3007)に
ついて
【アラート内容】
SRX シリーズにおいて、'set system ports console insecure'コマンドが正しく動作しないことが確認されて
います。本機能は、非ルートユーザによるコンソールからのパスワードリカバリの実施を防ぐことを目的とし
ています。機能が動作しないことにより、非ルートユーザに管理者権限を与えてしまう可能性があります。
本機能は SRX12.1X46-D15 で実装された機能であるため、それ以前のバージョンではこの脆弱性は影響
しません。本問題は SRX のみ影響します。
尚、本アラートは CVE-2015-3007 に該当致します。
【今後の対応について】
弊社サポートサイトにて公開されております以下の対応ファームウェアへアップグレードして頂くか、以下の
ワークアラウンドにて対応して頂けますようお願い致します。
【該当する機器】
SRX シリーズ
【危険度】
High
【該当するファームウェア】
Junos 12.1X46-D15 以降
【対応するファームウェア】
Junos 12.1X46-D35 以降
Junos 12.1X47-D25 以降 (近日公開予定)
Junos 12.3X48-D15 以降 (近日公開予定)
【ワークアラウンド】
コンソール接続を制限、あるいは遮断する事でリスクを軽減する事が可能です。
3． TCP LAST_ACK 状態のスタックに伴う mbuf の枯渇 (CVE-2015-5358)について
【アラート内容】
SRX シリーズおよび EX シリーズにおいて、アクティブな TCP コネクションが LAST_ACK の状態に遷移し
た時に、その TCP コネクションを使用しているデーモンプロセスが送信すべきデータを保持した状態である
と、該当の TCP コネクションが LAST_ACK の状態でスタックしてしまう可能性があります。この状態が度々
発生すると都度 mbuf が消費され、最終的には枯渇します。mbuf が枯渇した状態から復旧するには機器
の再起動が必要になります。
尚、本アラートは CVE-2015-5358 に該当致します。
【今後の対応について】
弊社サポートサイトにて公開されております以下の対応ファームウェアへアップグレードして頂くか、以下の
ワークアラウンドにて対応して頂けますようお願い致します。
【該当する機器】
SRX シリーズ
EX シリーズ
【危険度】
High
【該当するファームウェア】
Junos 12.X
【対応するファームウェア】
Junos 12.1X44-D50 以降
Junos 12.1X46-D35 以降
Junos 12.1X47-D25 以降 (近日公開予定)
Junos 12.3X48-D15 以降 (近日公開予定)
Junos 12.3R9 以降
Junos 13.2X51-D35 以降 (近日公開予定)
Junos 14.1X53-D16 以降 (近日公開予定)
【ワークアラウンド】
信頼できるネットワークからのみ TCP アクセスを許可する事でリスクを軽減する事が可能です。
また、BGP セッションに対しては、uRPF や TTL セキュリティと言った anti-spoofing 機能を用いることで
source address spoofing から保護することができます。
4． local-preference 値の変更に伴う RPD のクラッシュ(CVE-2015-5359)について
【アラート内容】
SRX シリーズおよび EX シリーズにおいて、更新された BGP local-preference 値を含む大量の
BGP-VPLS のラベルブロックを受信した際に、RPD がクラッシュする可能性があります。
尚、本アラートは CVE-2015-5359 に該当致します。
【今後の対応について】
弊社サポートサイトにて公開されております以下の対応ファームウェアへアップグレードして頂くか、以下の
ワークアラウンドにて対応して頂けますようお願い致します。
【該当する機器】
SRX シリーズ
EX シリーズ
【危険度】
High
【該当するファームウェア】
Junos 12.X
【対応するファームウェア】
Junos 12.1X44-D50 以降
Junos 12.1X46-D35 以降
Junos 12.1X47-D25 以降 (近日公開予定)
Junos 12.3X48-D10 以降 (近日公開予定)
Junos 12.3R9 以降
【ワークアラウンド】
大量のアップデートを伴うような local-preference 値の変更を避ける、もしくは BGP の設定変更をメンテナ
ンス時間に行うことでこの問題の影響を軽減することができます。
5． SEND パケットによる DoS の脆弱性(CVE-2015-5360)について
【アラート内容】
SRX シリーズおよび EX シリーズにおいて、Secure Neighbor Discovery(SEND)パケットの処理により
CPU 高負荷の状態が引き起こされる可能性があります。この脆弱性は、 'set protocols
neighbor-discovery secure security-level default'設定により Secure Neighbor Discovery 機能が有効と
なっている場合に限り発生します。
尚、本アラートは CVE-2015-5360 に該当致します。
【今後の対応について】
弊社サポートサイトにて公開されております以下の対応ファームウェアへアップグレードして頂くか、以下の
ワークアラウンドにて対応して頂けますようお願い致します。
【該当する機器】
SRX シリーズ
EX シリーズ
【危険度】
Medium
【該当するファームウェア】
Junos 12.X
Junos 13.X
Junos 14.X
Junos 15.X
【対応するファームウェア】
Junos 12.1X44-D51 以降 (近日公開予定)
Junos 12.1X46-D36 以降 (近日公開予定)
Junos 12.1X47-D25 以降 (近日公開予定)
Junos 12.3X48-D20 以降 (近日公開予定)
Junos 12.3R10 以降 (近日公開予定)
Junos 15.1X49-D20 以降 (近日公開予定)
【ワークアラウンド】
次のコマンドで Secure Neighbor Discovery 機能を無効とすることで対応可能です。
root# delete protocols neighbor-discovery secure
6． BFD のクラッシュ(CVE-2015-5362 )について
【アラート内容】
SRX シリーズおよび EX シリーズにおいて、巧妙に細工された BFD パケットを受信することで BFD デーモ
ンがクラッシュし、リスタートが引き起こされる可能性があります。また、このような BFD パケットを受信し続け
ることで BFD の障害が継続することとなり、場合によってはリモートからのコードの実行に繋がる恐れがあり
ます。
尚、本アラートは CVE-2015-5362 に該当致します。
【今後の対応について】
弊社サポートサイトにて公開されております以下の対応ファームウェアへアップグレードして頂くか、以下の
ワークアラウンドにて対応して頂けますようお願い致します。
【該当する機器】
SRX シリーズ
EX シリーズ
【危険度】
Critical
【該当するファームウェア】
Junos 12.X
Junos 13.X
Junos 14.X
Junos 15.X
【対応するファームウェア】
Junos 12.1X44-D50 以降
Junos 12.1X46-D35 以降
Junos 12.1X47-D25 以降 (近日公開予定)
Junos 12.3X48-D15 以降 (近日公開予定)
Junos 12.3R10 以降 (近日公開予定)
Junos 15.1X49-D10 以降 (近日公開予定)
【ワークアラウンド】
信頼されるホストとのみ BFD セッションを確立できるよう、受信側インターフェースや Control Plane (lo0)
に対して Firewall Filter で制御をかけることが可能です。また、次のコマンドで BFD デーモン自体を無効と
することが可能です。
root# set system processes neighbor-liveness disable'
7． NSD の DoS の脆弱性 (CVE-2015-5363)について
【アラート内容】
SRX シリーズにおいて、Network Security Daemon(NSD)に巧妙に細工された DNS レスポンスメッセージ
を受信することで DoS 攻撃を受ける脆弱性が内在することが確認されております。また、NSD プロセスが連
続してクラッシュした場合には、SRX のセキュリティ機能が正常に動作しなくなります。その際には、セキュリ
ティ関連の機能に関する commit 処理ができなくなり、以下のようなセキュリティ機能が正常に動作していな
いことを示すメッセージが表示されます。
root> show security zones
error: the network-security subsystem is not running
本アラートは CVE-2015-5363 に該当致します。
【今後の対応について】
弊社サポートサイトにて公開されております以下の対応ファームウェアへアップグレードして頂けますようお
願い致します。
【該当する機器】
SRX シリーズ
【危険度】
Medium
【該当するファームウェア】
Junos 12.X
Junos 13.X
Junos 14.X
Junos 15.X
【対応するファームウェア】
Junos 12.1X44-D50 以降
Junos 12.1X46-D35 以降
Junos 12.1X47-D25 以降 (近日公開予定)
Junos 12.3X48-D15 以降 (近日公開予定)
本件に関してご不明な点は、下記までお問い合わせ下さい。
ノックス株式会社技術本部
TEL
： 03-5731-5551
e-Mail
： [email protected]
以上

Download Report