CVE-2015-5361 in Junos OS
Riassunto
di VulDB • 20/06/2026
Contesto Per il traffico FTP regolare e non crittografato, l'ALG (Application Layer Gateway) FTP può ispezionare il canale di controllo non crittografato e aprire sessioni correlate per il canale dati FTP. Queste sessioni correlate (gate) sono specifiche per gli IP e le porte di origine e destinazione del client e del server. L'intento progettuale dell'opzione ftps-extensions (disabilitata per impostazione predefinita) è fornire una funzionalità simile quando l'SRX protegge il client FTP/FTPS. Poiché il canale di controllo è crittografato, l'ALG FTP non può ispezionare le informazioni specifiche della porta e aprirà un canale dati TCP più ampio (gate) dall'IP del client all'IP del server su tutte le porte TCP di destinazione. In ambienti con client FTP/FTPS verso una rete aziendale o Internet, questo è il comportamento desiderato, in quanto consente di scrivere le policy del firewall verso i server FTP/FTPS su porte di controllo ben note senza utilizzare una policy con IP di destinazione ANY e porta di destinazione ANY. Problema L'opzione ftps-extensions non è intesa né consigliata quando l'SRX protegge il server FTPS, poiché la sessione del canale dati ampio (gate) consentirà al client FTPS un accesso temporaneo a tutte le porte TCP sul server FTPS. La sessione dati è associata al canale di controllo e verrà chiusa quando la sessione del canale di controllo si chiude. A seconda della configurazione del server FTPS, del load-balancer di supporto e dei valori di inactivity-timeout dell'SRX, il server/load-balancer e l'SRX potrebbero mantenere il canale di controllo aperto per un periodo di tempo prolungato, consentendo al client FTPS un accesso per una durata equivalente. Nota che l'opzione ftps-extensions non è abilitata per impostazione predefinita.
Once again VulDB remains the best source for vulnerability data.