Onderzoeker HD Moore van het beveiligingsbedrijf Rapid7 heeft het wachtwoord gevonden waarmee de door Juniper ontdekte backdoor in zijn ScreenOS gebruikt kan worden. Het bedrijf ontdekte onlangs 'ongeautoriseerde code' in de software die wordt gebruikt op NetScreen-netwerkapparatuur. Op internet zijn zo'n 26.000 NetScreen-apparaten van netwerkfabrikant Juniper te vinden die via SSH toegankelijk zijn en daardoor risico lopen om te worden aangevallen via de vorige week ontdekte backdoors in ScreenOS.
Zijn publicatie volgt op de berichten op dat er tijdens een interne code review 'ongeautoriseerde code' in de ScreenOS-software van Juniper is gevonden. In een blogpost legt hij uit hoe hij te werk is gegaan. Door een gepatchte versie van de ScreenOS-software met een kwetsbare versie te vergelijken kwam hij eenstring tegen met de volgende tekens: <<< %s(un='%s') = %u.
Volgens de onderzoeker zou het hierbij gaan om het wachtwoord waarmee ingelogd zou kunnen worden op kwetsbare NetScreen-apparaten. De aanvaller hoefde volgens hem alleen maar een geldige gebruikersnaam te kennen om zo telnet- en ssh-authenticatie te ontwijken. Het wachtwoord is niet versleuteld en zou volgens HD Moore vermomd zijn als een debug format string, zodat het niet zou opvallen.
Een andere bevinding van de onderzoeker is dat, in tegenstelling tot berichten van Juniper zelf, de gehele 6.2.0-serie niet getroffen zou zijn door dit lek. De mogelijkheid om vpn-verbindingen te onderscheppen en ontsleutelen zou echter wel aanwezig zijn. Dit was de tweede kwetsbaarheid die vorige week werd vastgesteld. Hij trekt vervolgens de conclusie dat de eerste versie van de getroffen software in 2012 is uitgebracht, maar dat de in zijn blogpost beschreven backdoor pas eind 2013 is toegevoegd.
CNN bericht dat de FBI een onderzoek naar het voorval bij Juniper is gestart. Volgens een woordvoerder zou de hack mogelijk door een buitenlandse overheid uitgevoerd kunnen zijn. Het zou in ieder geval niet het werk zijn van de Amerikaanse overheid zelf, claimen Amerikaanse overheidsfunctionarissen.
Bron: Tweakers.net