CVE-2015-5361

Arka Plan: Şifrelenmemiş standart FTP trafiği için FTP ALG, şifrelenmemiş kontrol kanalını inceleyebilir ve FTP veri kanalı için ilgili oturumları açabilir. Bu ilgili oturumlar (geçitler), istemci ve sunucunun kaynak ve hedef IP'lerine ve portlarına özeldir. Varsayılan olarak devre dışı olan ftps-extensions seçeneğinin tasarım amacı, SRX FTP/FTPS istemcisini koruduğunda benzer bir işlevsellik sağlamaktır. Kontrol kanalı şifreli olduğu için FTP ALG, porta özgü bilgileri inceleyemez ve istemci IP'sinden sunucu IP'sine tüm hedef TCP portlarında daha geniş bir TCP veri kanalı (geçit) açar. Bir kurumsal ağa veya İnternete bağlanan FTP/FTPS istemci ortamlarında bu istenen bir davranıştır; çünkü hedef IP ANY ve hedef port ANY içeren bir politika kullanmadan, bilinen kontrol portlarındaki FTP/FTPS sunucularına yönelik güvenlik duvarı politikası yazılmasına olanak tanır. Sorun: ftps-extensions seçeneği, SRX'in FTPS sunucusunu koruduğu durumlarda amaçlanmamıştır ve önerilmez; çünkü geniş veri kanalı oturumu (geçit), FTPS istemcisinin FTPS sunucusundaki tüm TCP portlarına geçici erişimine izin verecektir. Veri oturumu kontrol kanalı ile ilişkilidir ve kontrol kanalı oturumu kapandığında kapatılır. FTPS sunucusunun yapılandırmasına, destekleyen yük dengeleyiciye ve SRX inactivity-timeout değerlerine bağlı olarak, sunucu/yük dengeleyici ve SRX kontrol kanalını uzun bir süre açık tutabilir ve böylece bir FTPS istemcisinin aynı süre boyunca erişim sağlamasına izin verebilir. ftps-extensions seçeneğinin varsayılan olarak etkinleştirilmediğini unutmayın.