Juniper schließt OpenSSH-Lücken in Junos OS und Junos OS Evolved
Junos OS und Junos OS Evolved enthalten OpenSSH. Sicherheitslücken darin schließt Juniper nun mit Betriebssystem-Updates.
(Bild: Bild erstellt mit KI in Bing Designer durch heise online / dmk)
Die Router-Betriebssysteme Junos OS und Junos OS Evolved von Juniper Networks bringen eine angepasste Version von OpenSSH mit. Jetzt hat der Hersteller Schwachstellen in der Software mit aktualisierten Betriebssystemversionen ausgebessert. IT-Verantwortliche sollten die Aktualisierungen zeitnah anwenden.
In einer Sicherheitsmitteilung schreiben die Entwickler der HPE-Tochter Juniper, dass Junos OS und Junos OS Evolved eine stark angepasste Version von OpenSSH v7.5p1 einsetzen. Durch die Anpassungen könnten Sicherheitsscanner falsche Schwachstellen in der Software melden, zudem beträfen nicht alle Sicherheitslücken der Version dadurch auch Junos OS oder Junos OS Evolved.
Junos OS (Evolved) mit zig OpenSSH-Lücken
Insgesamt zu 19 Sicherheitslecks in OpenSSH liefert die Sicherheitsmitteilung Informationen und gegebenenfalls (temporäre) Gegenmaßnahmen. Acht betreffen die Router-Betriebssysteme demnach gar nicht erst, darunter eine der beiden als kritisches Risiko eingestuften Schwachstellen.
Die schwerwiegendste Schwachstelle betrifft das PKCS#11-Feature im ssh-agent von OpenSSH (CVE-2023-38408, CVSS 9.8, Risiko "kritisch"). Das können Angreifer unter Umständen zum Einschleusen von Schadcode missbrauchen. Aus der Bedienoberfläche lasse sich das nicht direkt missbrauchen, erläutern die Juniper-Entwickler, Admins müssten dazu eine Shell öffnen und zu einem bösartigen Host Verbindung aufnehmen. Aber auch ältere Lücken etwa in scp (CVE-2020-12062, CVSS 7.5, hoch) betreffen auch die Juniper-Variante.
Die Sicherheitslücken bessern Junos OS 19.4R1 sowie Junos OS Evolved 22.3R1 oder neuere Fassungen aus. Wer die Updates noch nicht anwenden kann, sollte zumindest die erläuterten Workarounds in der Sicherheitsmitteilung in Erwägung ziehen.
Im Januar wurde Juniper Networks von Hewlett Packard Enterprise (HPE) übernommen. Zum selben Zeitpunkt hatte der Hersteller 27 Sicherheitsmitteilungen veröffentlicht und mit dazugehörenden Updates diese zahlreichen Sicherheitslücken geschlossen.
(dmk)