Deutsch | English
Dieser Blog enthält keine offiziellen Aussagen von CERT.at, sondern persönliche Meinungen einzelner Mitarbeiter.

Juniper backdoors

22. Dezember 2015

Juniper hat in einem Advisory (hier unsere unsere Warnung dazu) der Welt gesagt, dass sie bei einem Code-Audit zwei Hintertüren in ScreenOS gefunden haben.

Die eine ist eine technisch ziemlich triviale Sache: ein konstantes Passwort erlaubt den Login per ssh oder telnet. Angeblich hat es nur 6 Stunden gebraucht, um dieses Master-Passwort zu reverse-engineeren. Wie man so was rausbekommt, beschreibt HD Moore hier.

Die zweite Hintertür soll angeblich das passive Entschlüsseln von VPNs ermöglichen. Das ist technisch nicht so trivial: das ist der Punk wo die Crypto-Geeks feuchte Augen bekommen, wo von diskreten Logarithmen und PRNGs gesprochen wird und manche Leute ihre Aluhüte aufsetzen. Harte Fakten sind noch etwas dünn, das sollte in den nächsten Wochen noch deutlich besser werden.

Die aktuelle Wissen- bzw. Spekulationslage fassen die folgenden drei Blogger zusammen: Adam Langley, Ralf-Philipp Weinmann und Matthew Green.

Das riecht inzwischen so, als ob da eine von Netscreen/Juniper absichtlich eingebaute Hintertür von einem Angreifer für eigene Zwecke umgebaut wurde.

Falls das stimmt, dann fixt der Patch nur den "Missbrauch" der Hintertür, aber nicht die Hintertür als solches.

Hätte ich so ein Ding gekauft, würde ich dringend mit meinem Lieferanten reden wollen.

Und der Spatz namens Snowden zwitschert von seinem Dach, dass das Ganze bei Cisco um nichts besser ist.

Frohe Feiertage allerseits. Wenn es doch nur schon geschneit hätte, dann könnte ich jetzt mit den Kids einen Schneemann bauen und dem den Aluhut aufsetzen. Der passt sicher gut zur Karottennase.

Autor: Otmar Lendl

Email: reports@cert.at
Tel.: +43 1 5056416 78
mehr ...
Update: "Zero-Day" Sicherheitslücke in Adobe Flash Player - aktiv ausgenützt - Patches verfügbar
7. Juni 2018 | Update: ...
Kritische Sicherheitslücken in Adobe Acrobat, Adobe Reader und Adobe Photoshop CC - Patches verfügbar
15. Mai 2018 | Beschreibung Adobe ...
mehr ...
In eigener Sache: CERT.at sucht Verstärkung
5. Juni 2018 | Für unsere ...
NIS Update
15. Mai 2018 | Am 9. ...
mehr ...
Jahresbericht 2016
Ein Resumee zur digitalen Sicherheitslage in Österreich

(HTML, PDF).
Letzte Änderung: 2015/12/22 - 15:55:19
Haftungsausschluss / Datenschutzerklärung