CVE-2015-5361 in Junos OS
摘要
由 VulDB • 2026-06-14
背景：对于常规的未加密FTP流量，FTP ALG可以检查未加密的控制通道并为相关的FTP数据通道打开会话。这些相关会话（网关）专门针对客户端和服务器的源IP和目标IP及端口设计。ftps-extensions选项的设计意图是在SRX保护FTP/FTPS客户端时提供类似的功能（默认情况下该选项处于禁用状态）。由于控制通道已加密，FTP ALG无法检查特定端口的信息，因此将从客户端IP到服务器IP的所有目标TCP端口上打开一个更宽泛的TCP数据通道（网关）。在企业网络或Internet上的FTP/FTPS客户端环境中，这是期望的行为，因为它允许防火墙策略针对知名控制端口上的FTP/FTPS服务器进行编写，而无需使用带有目的IP ANY和目的端口ANY的策略。
问题：ftps-extensions选项并不适用于SRX保护FTPS服务器的场景，因为宽泛的数据通道会话（网关）将允许FTPS客户端临时访问FTPS服务器上的所有TCP端口。数据会话与控制通道相关联，并在控制通道会话关闭时随之关闭。根据FTPS服务器、支持负载均衡器以及SRX的不活动超时值的配置情况，服务器/负载均衡器和SRX可能会保持较长时间的控制通道处于打开状态，从而使FTPS客户端能够在此时间段内持续访问？请注意，ftps-extensions选项默认情况下未启用。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.