涉及程序： NetScreen ScreenOS 描述： NetScreen 非IP通信绕过防火墙缺陷 详细： Netscreen 是一款防火墙安全解决方案，其操作系统为ScreenOS。 Netscreen 防火墙不正确处理非IP或ARP通信，远程攻击者可以利用这个漏洞发送部分通信绕过防火墙限制，并且没有记录。 在通明模式中，除非管理员定义了安全策略一般不会转发任何通信。一旦定义了一个安全策略，设备允许包含非IPV4帧的第2层广播和多播通过，这主要为了各个NetScreen设备彼此间能相互\"学习\"。 2层包含非IPV4帧的广播和多播允许通过NetScreen设备进行服务通告，SpanTree声明，传递不可路由LAN通信等。默认情况下，只有IPV4单播可以通过设备，然后依照规则通过。根据管理员选项，设备配置成允许非IPV4单播通过设备转发，这个是全局设置和影响所有安全区域和VSYS。 对非IP单播，多播，广播没有任何检测或策略应用。邻近的透明模式防火墙的恶意用户可以传送包含非IPV4帧的2层多播或广播，影响防火墙另一端的主机。不管NetScreen设备设置了\"set | unset firewall bypass-non-ip\"这些通信也会通过防火墙。如可以注入任意NetWare SAP到IPX主机，或注入PBDU迫使MAC层交换机重平衡SpanTree等。 此外，如果NetScreen设备上执行了\"unset firewall bypass-non-ip\"命令，离非IPV4路由器1跳或更多的恶意用户可能使用非IPV4单播通信影响防火墙另一端的主机。 只有NetScreen设备放置在允许非IPV4通信的网络中才有以上的漏洞威胁，并且NetScreen设备需要运行在透明模式下。 受影响系统： NetScreen ScreenOS 4.0.3 NetScreen ScreenOS 4.0.2 NetScreen ScreenOS 4.0.1 NetScreen ScreenOS 4.0-DIAL NetScreen ScreenOS 4.0 NetScreen ScreenOS 3.1.1r2 NetScreen ScreenOS 3.1.0r9 NetScreen ScreenOS 3.1.0r2 NetScreen ScreenOS 3.1.0r1 NetScreen ScreenOS 3.1.0 NetScreen ScreenOS 3.0.3r1.1 NetScreen ScreenOS 3.0.3 NetScreen ScreenOS 3.0.2 NetScreen ScreenOS 3.0.1r2 NetScreen ScreenOS 3.0.1r1 NetScreen ScreenOS 3.0.1 NetScreen ScreenOS 3.0.0r4 NetScreen ScreenOS 3.0.0r3 NetScreen ScreenOS 3.0.0r2 NetScreen ScreenOS 3.0.0r1 NetScreen ScreenOS 3.0.0 NetScreen ScreenOS 2.8.0r1 NetScreen ScreenOS 2.8 NetScreen ScreenOS 2.7.1r3 NetScreen ScreenOS 2.7.1r2 NetScreen ScreenOS 2.7.1r1 NetScreen ScreenOS 2.7.1 NetScreen ScreenOS 2.6.1r5 NetScreen ScreenOS 2.6.1r4 NetScreen ScreenOS 2.6.1r3 NetScreen ScreenOS 2.6.1r2 NetScreen ScreenOS 2.6.1r1 NetScreen ScreenOS 2.6.1 NetScreen ScreenOS 2.6 NetScreen ScreenOS 2.5r6 NetScreen ScreenOS 2.5r2 NetScreen ScreenOS 2.5r1 NetScreen ScreenOS 2.5 NetScreen ScreenOS 2.10r4 NetScreen ScreenOS 2.10r3 NetScreen ScreenOS 2.1 NetScreen ScreenOS 2.0.1r8 NetScreen ScreenOS 1.7 NetScreen ScreenOS 1.66r2 NetScreen ScreenOS 1.66 NetScreen ScreenOS 1.64 攻击方法： 暂无有效攻击代码 解决方案： 目前厂商已经发布了升级补丁以修复此安全问题，请到厂商的主页下载7月14号之后的ScreenOS 4.0.1 release r9 和4.0.3 release r3 版本： http://www.netscreen.com/services/download_soft http://www.netscreen.com/support/updates.html 临时解决方案： * 检查网络拓扑是否必须NetScreen设备使用非IPV4单播，不需要就关闭。如果需要，只允许路由器直接连接NetScreen设备，或你必须通过L2交换机连接末端系统，确保路由器针对非IPV4广播和多播有使用正确的访问控制和过滤。 附加信息： 无