CVE-2015-7755

Um backdoor de autenticação inserido em código não autorizado no ScreenOS da Juniper permitia acesso administrativo completo a firewalls NetScreen bastando digitar uma senha mestra fixa durante uma sessão SSH ou Telnet, no lugar da senha real do usuário. A falha foi descoberta pela própria Juniper em revisão interna de código e é tratada como inserção deliberada de terceiros, não como bug de programação — o que a torna um caso raro de supply-chain compromise em firmware de rede amplamente usado.

O mecanismo é um bypass de autenticação por credencial hardcoded (CWE-798/CWE-287): o binário do ScreenOS continha uma string mágica embutida — identificada por pesquisadores, via diffing binário entre versões, como "<<< %s(un='%s') = %u" — que, quando fornecida como senha em uma tentativa de login SSH ou Telnet, concedia acesso administrativo independentemente do nome de usuário ou da senha legítima configurada no dispositivo. Não é uma falha de lógica acidental: a Juniper classificou o código como 'unauthorized code', ou seja, inserido fora do processo normal de desenvolvimento, e ele coexistia com uma segunda falha independente (CVE-2015-7756) que comprometia a decriptação de tráfego VPN via manipulação de parâmetros do Dual_EC_DRBG.

O atacante só precisa de alcance de rede até a interface de gerenciamento SSH ou Telnet do dispositivo — não precisa de credencial válida, conta prévia nem configuração especial. Ao autenticar com qualquer nome de usuário e a senha mágica revelada publicamente, obtém acesso administrativo total, permitindo reconfigurar regras de firewall, extrair configuração e pivotar na rede protegida. A complexidade de exploração é trivial (AC:L, PR:N, UI:N no vetor CVSS) porque não exige conhecimento prévio de segredo criptográfico nem timing especial — apenas saber a string, que se tornou pública dias após o advisory da Juniper.

A correção definitiva é atualizar para as builds retificadas ('b') de cada branch afetado, ou para 6.3.0r21 no caso do branch 6.3.0r20, que remove o código não autorizado. Onde a atualização imediata não é viável, o paliativo real é restringir o acesso de gerenciamento (SSH/Telnet) apenas a hosts e redes confiáveis via ACL/management-zone, e desabilitar Telnet em favor de SSH com listas de acesso — isso não corrige a falha, mas reduz a superfície de exposição à interface vulnerável. Trocar a senha de administrador não mitiga nada, pois o backdoor ignora a senha configurada — esse é o mito mais perigoso associado ao caso.

Segundo análise técnica publicada por pesquisadores, quando o backdoor é usado o log do ScreenOS registra a conexão como originada do usuário 'system' em vez do nome de usuário real digitado — uma anomalia sutil, mas verificável em logs de autenticação SSH/Telnet do dispositivo, desde que os logs não tenham sido adulterados. O próprio CERT/CC observa que não há garantia de que essa evidência sempre exista, e a Juniper declarou não ter conhecimento de exploração maliciosa confirmada, apesar da senha ter se tornado pública. Não há assinatura de rede confiável (a autenticação ocorre dentro de uma sessão SSH/Telnet legítima), então a detecção depende quase inteiramente da revisão de logs de auditoria do próprio equipamento.