В сетевых коммутаторах от Juniper Networks обнаружены вшитые учетные данные
Производитель выпустил исправляющее проблему обновление прошивки.
Компания Juniper Networks исправила уязвимость (CVE-2019-0034) в своих сетевых коммутаторах для дата-центров. Проблема заключалась в наличии вшитых учетных данных в программном инструменте Junos Network Agent, предназначенном для управления датчиками и другими устройствами для мониторинга производительности сетей. Если говорить точнее, вшитые учетные данные были обнаружены в компоненте Google gRPC, используемом с Junos Telemetry Interface. «В используемых gRPC конфигурационных файлах были обнаружены неизменяемые учетные данные, которые могли использоваться Junos Network Agent для неавторизованного чтения некоторых некритических данных (информации с датчиков). Кроме того, API, доступные через Juniper Extension Toolkit (JET), могут выполнять на устройстве некритические операции ‘set’», – говорится в уведомлении Juniper Networks.
Хотя уязвимые компоненты могут входить в Junos, вшитые учетные данные есть только в сетевых коммутаторах, на которых работает Telemetry Interface с Junos Network Agent. Устройства без Junos Network Agent уязвимости не подвержены.
Администраторы могут проверить Network Agent на наличие уязвимости, введя команду user@junos> show version | grep na telemetry и проверив выходные данные user@junos>JUNOS na telemetry [17.3R3-S3.3]. В случае обнаружения проблемы настоятельно рекомендуется установить последнюю версию прошивки. Впрочем, установка обновлений желательна в любом случае.
