Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-287

CVE-2015-7755

Juniper ScreenOS'ta SSH/TELNET üzerinden yönetici erişimi sağlayan kimlik doğrulama açığı

Juniper ScreenOS

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
3966 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 2 Eki 2025 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 23 Eki 2025.

Yönetici özeti

Güvenlik duvarı cihazlarının yönetim arayüzüne internet üzerinden kimliksiz erişilebilmesine izin veren, aktif olarak istismar edilen kritik bir açıktır. Cihazın ele geçirilmesi ağ güvenliğinin tamamen devre dışı kalmasına ve kurum trafiğinin görülmesine neden olabilir. Etkilenen cihazların gecikmeden güncellenmesi veya erişimin kısıtlanması gerekir.

ÖzetTürkçe

Juniper ScreenOS'un 6.2.0r15–6.2.0r18 sürümleri ile 6.3.0r12'den 6.3.0r20'ye kadar olan bazı sürümlerinde (ilgili 'b' ve 6.3.0r21 düzeltme sürümlerinden önceki yapılar) yetersiz kimlik doğrulama açığı bulunmaktadır. Uzaktan bir saldırgan, SSH veya TELNET oturumunda belirli bir parola girerek kimlik doğrulamasını aşabilir ve cihazda yönetici yetkisi elde edebilir. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer almaktadır. Etkilenen sürümleri çalıştıran Juniper ScreenOS cihazlarını kullanan kurumlar risk altındadır.

Saldırgan ne yapabilir?

Saldırgan, kimlik bilgisi veya kullanıcı etkileşimi gerekmeden cihazın yönetici erişimini ele geçirebilir. Bu, yapılandırmanın değiştirilmesine, trafiğin yönlendirilmesine veya izlenmesine ve cihazın tamamen kontrol altına alınmasına yol açabilir.

Kaynaktaki açıklama (İngilizce)

Juniper ScreenOS 6.2.0r15 through 6.2.0r18, 6.3.0r12 before 6.3.0r12b, 6.3.0r13 before 6.3.0r13b, 6.3.0r14 before 6.3.0r14b, 6.3.0r15 before 6.3.0r15b, 6.3.0r16 before 6.3.0r16b, 6.3.0r17 before 6.3.0r17b, 6.3.0r18 before 6.3.0r18b, 6.3.0r19 before 6.3.0r19b, and 6.3.0r20 before 6.3.0r21 allows remote attackers to obtain administrative access by entering an unspecified password during a (1) SSH or (2) TELNET session.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Ne yapmalı?

  1. Cihazınızın sürümünü kontrol edin ve Juniper'ın yayımladığı düzeltilmiş sürüme güncelleyin: 6.3.0 serisi için ilgili 'b' sürümleri (ör. 6.3.0r12b–6.3.0r19b) veya 6.3.0r21 ve sonrası. Genel öneri
  2. CISA KEV gereği, satıcının talimatlarına göre önlemleri uygulayın; önlem uygulanamıyorsa ürünün kullanımını sonlandırın. CISA
  3. Güncelleme yapılana kadar SSH ve TELNET yönetim erişimini yalnızca güvenilir yönetim ağlarıyla sınırlandırın ve internetten erişimi kapatın. Genel öneri
  4. Güncelleme sonrasında yönetici hesaplarını, yapılandırmayı ve oturum kayıtlarını yetkisiz değişiklik açısından gözden geçirin. Genel öneri

Ek önlemler

  • Yönetim arayüzlerini (SSH, TELNET) yalnızca ayrı bir yönetim ağı veya VPN üzerinden erişilebilir hâle getirin; TELNET yerine mümkünse yalnızca SSH kullanın. Genel öneri
  • Cihaz oturum açma kayıtlarını merkezi bir günlük sistemine aktarın ve olağandışı yönetici girişlerini izleyin. Genel öneri
  • Olası ele geçirilme şüphesi varsa cihaz yapılandırmasını ve kimlik bilgilerini gözden geçirip gerekirse parolaları ve anahtarları yenileyin. Genel öneri
  • Desteği sona ermiş veya güncellenemeyen ağ cihazlarını daha yeni ürünlerle değiştirmeyi planlayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Juniper ScreenOS Sürüm belirtilmemiş –

Kaynaklar14 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.