Juniper Junos OS 多个漏洞 (JSA11265)

critical Nessus 插件 ID 156680

语言：

简介

远程设备缺少供应商提供的安全补丁。

描述

远程主机上安装的 Junos OS 版本受到 JSA11265 公告中提及的多个漏洞的影响。

- 当设备启用“no-syn-check”时，SRX 系列服务网关上 Juniper Networks Junos OS 中的流量分类漏洞可能允许攻击者绕过 Juniper 深度数据包检查 (JDPI) 规则，并访问未经授权的网络或资源。虽然 JDPI 正确地将状态外非对称 TCP 流分类为动态应用程序 UNKNOWN，但此分类未正确提供给策略模块，因此流量会继续使用更宽松的 pre-id-default-policy 策略，从而导致防火墙允许转发本应遭到拒绝的流量。只有在设备已配置“set security flow tcp-session no-syn-check”时，才会发生此问题。此问题会影响 SRX 系列上的以下 Juniper Networks Junos OS 版本：18.4R2-S10、18.4R3-S10 之前的 18.4 版本；19.1R3-S8 之前的 19.1 版本；19.2R1-S8、19.2R3-S4 之前的 19.2 版本；19.3R3-S3 之前的 19.3 版本；19.4R3-S5 之前的 19.4 版本；20.1R3-S1 之前的 20.1 版本；20.2R3-S2 之前的 20.2 版本；20.3R3-S1 之前的 20.3 版本；20.4R2-S2、20.4R3 之前的 20.4 版本；21.1R2-S2、21.1R3 之前的 21.1 版本；21.2R2 之前的 21.2 版本。此问题不会影响 18.4R1 之前的 Juniper Networks Junos OS 版本。(CVE-2022-22167)

- 当设备启用“no-syn-check”时，SRX 系列服务网关上 Juniper Networks Junos OS 中的流量分类漏洞可能允许攻击者绕过 Juniper 深度数据包检查 (JDPI) 规则，并访问未经授权的网络或资源。由于 JDPI 不正确地将状态外非对称 TCP 流分类为动态应用程序 INCONCLUSIVE 而不是更宽松的 UNKNOWN，从而导致防火墙允许转发本应遭到拒绝的流量。只有在设备已配置“set security flow tcp-session no-syn-check”时，才会发生此问题。此问题会影响 SRX 系列上的以下 Juniper Networks Junos OS 版本：18.4R2-S9、18.4R3-S9 之前的 18.4 版本；19.1R2-S3、19.1R3-S6 之前的 19.1 版本；19.2R1-S7、19.2R3-S3 之前的 19.2 版本；19.3R2-S6、19.3R3-S2 之前的 19.3 版本；19.4R2-S5、19.4R3-S3 之前的 19.4 版本；20.1R2-S2、20.1R3 之前的 20.1 版本；20.2R3-S1 之前的 20.2 版本；20.3R3 之前的 20.3 版本；20.4R2-S1、20.4R3 之前的 20.4 版本；21.1R1-S1、21.1R2 之前的 21.1 版本。此问题不会影响 18.4R1 之前的 Juniper Networks Junos OS 版本。(CVE-2022-22157)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。