Ukryte hasło w ScreenOS 6.3.0r17 do r20 daje pełny dostęp administratora do zapory przez SSH lub TELNET. CISA w 2025 potwierdziła ataki. Odetnij zarządzanie od internetu, zaktualizuj lub wymień urządzenie.
Ten alert jest dla zarządu, CTO i CFO firm, w których może jeszcze działać stara zapora lub koncentrator VPN firmy Juniper z systemem ScreenOS. Werdykt: jeśli takie urządzenie ma ScreenOS 6.3.0 w wydaniach r17 do r20 bez poprawki, dziś odetnij jego panel zarządzania od internetu i zaplanuj aktualizację lub wymianę, bo ukryte hasło daje każdemu pełny dostęp administratora, a CISA w 2025 roku potwierdziła ataki.
Amerykańska agencja CISA 2 października 2025 roku dopisała podatność CVE-2015-7755 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd pochodzi z 2015 roku: w oprogramowaniu ScreenOS znajdowało się hasło, którego nie ustawił nikt w firmie. Kto połączył się z urządzeniem przez SSH lub TELNET i je podał, dostawał uprawnienia administratora.
Juniper wykrył problem we własnym przeglądzie kodu i opublikował poprawki 17 grudnia 2015 roku. Hasło szybko stało się publicznie znane. Po dziesięciu latach CISA potwierdziła, że nadal jest wykorzystywane. Termin naprawy wg CISA minął 23 października 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2015-7755 (biuletyn Juniper JSA10713; w europejskiej bazie ENISA: EUVD-2015-7655) |
Data dodania do CISA KEV | 2025-10-02 |
Termin naprawy wg CISA | 2025-10-23 (21 dni od wpisu) |
Produkt | Juniper Networks ScreenOS, system zapór i urządzeń VPN |
Wersje zagrożone | Wg CERT/CC i listy produktów w NVD: ScreenOS 6.3.0r17, 6.3.0r18, 6.3.0r19 i 6.3.0r20. Opis tekstowy w NVD podaje szerszy zakres (6.2.0r15 do r18 oraz 6.3.0 od r12), który wg CERT/CC dotyczy drugiej luki z tego samego przeglądu, CVE-2015-7756 |
Wersje bezpieczne | ScreenOS 6.3.0r17b, 6.3.0r18b, 6.3.0r19b oraz 6.3.0r21 i nowsze; dla wcześniejszych gałęzi producent wydał wersje z literą b (np. 6.3.0r12b do 6.3.0r16b). Informacja o najnowszym wydaniu i wsparciu: w biuletynie producenta |
Typ podatności | Nieprawidłowe uwierzytelnianie (ukryte hasło administracyjne); CWE-287 |
Ocena CVSS | NVD: 9.8 (CVSS 3.1, KRYTYCZNA) oraz 10.0 (CVSS 2.0). CERT/CC: ocena bazowa 10, czasowa 8.3, środowiskowa 6.2. Atak przez sieć, bez konta i bez udziału użytkownika |
Wyobraź sobie zamek w drzwiach biura, który poza kluczem właściciela otwiera się także kluczem uniwersalnym. Nikt w firmie o nim nie wiedział, bo nie wydała go firma, tylko znalazł się w zamku od początku. Gdy ktoś opublikował wygląd tego klucza, każdy przechodzień mógł dorobić własny.
Zapora sieciowa to takie drzwi między firmą a internetem. Decyduje, jaki ruch może wejść, i często obsługuje też VPN dla pracowników. ScreenOS w wadliwych wersjach przyjmował przy logowaniu przez SSH lub TELNET ukryte hasło i wpuszczał z pełnymi uprawnieniami. Napastnik nie musiał niczego łamać, wystarczyło znać jeden ciąg znaków, który od grudnia 2015 roku jest publiczny.
💡 Urządzenie brzegowe (zapora, firewall) stoi między siecią firmy a internetem i decyduje, co może przejść. SSH i TELNET to kanały zdalnego zarządzania urządzeniem z wiersza poleceń; TELNET nie szyfruje nawet haseł. VPN to szyfrowany tunel, przez który pracownicy łączą się z siecią firmy z zewnątrz. KEV to katalog CISA z lukami potwierdzonymi w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba łączy się z zaporą przez SSH | Odrzucona bez prawidłowego hasła | Wchodzi jako administrator z ukrytym hasłem |
Reguły ruchu w firmie | Zmienia je tylko administrator | Napastnik może przepuścić dowolny ruch |
Połączenia VPN pracowników | Widoczne tylko dla firmy | Napastnik widzi, kto i skąd się łączy |
Zmiana haseł administratora | Odcina nieuprawnionych | Nie pomaga, ukryte hasło działa dalej |
Panel zarządzania dostępny tylko z biura | Dodatkowa ochrona | Wyklucza napastników z internetu do czasu aktualizacji |
źródło: Pexels, Sami TÜRKPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak jest możliwy z internetu, bez konta i bez udziału pracownika, pod warunkiem że zarządzanie przez SSH lub TELNET jest osiągalne dla napastnika. CISA ocenia, że da się go zautomatyzować, więc napastnik nie wybiera celu, tylko sprawdza cały internet.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie urządzeń ScreenOS z otwartym SSH lub TELNET | Lista urządzeń do sprawdzenia |
2. Próba hasła | T+sekundy na urządzenie | Logowanie z publicznie znanym ukrytym hasłem | Dostęp administratora na podatnych urządzeniach |
3. Rozpoznanie | T+minuty | Odczyt konfiguracji, reguł, kont VPN i tras | Mapa sieci firmy |
4. Utrwalenie | T+godziny | Dodanie własnych reguł, kont lub dostępu VPN | Stałe wejście do sieci |
5. Wejście do sieci | T+dni | Połączenie z serwerami i komputerami wewnątrz | Dostęp do danych firmy |
6. Nadużycie | T+tygodnie | Kradzież danych, podsłuch ruchu, przygotowanie dalszego ataku | Wyciek i koszty incydentu |
Kto przejmie zaporę, nie musi już włamywać się do niczego innego: ma władzę nad całą siecią większą niż ktokolwiek zatrudniony. Problem nie jest widoczny w żadnym programie na komputerach, bo siedzi w skrzynce przykręconej do szafy, o której w wielu firmach nikt już nie pamięta.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zmienione reguły sieci, konieczność wymiany zapory i odtworzenia konfiguracji | Dni | 20 tys. do 150 tys. PLN (nowy sprzęt, wdrożenie, przestój) |
Bezpieczeństwo danych | Dostęp do sieci wewnętrznej, podsłuch i kradzież danych | Minuty do dni | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty incydentu, możliwe oszustwa i okup po dalszym ataku | Tygodnie | 50 tys. do 800 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów po wycieku ich dokumentów | Miesiące | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; używanie urządzenia ze znaną od dekady luką utrudnia wykazanie należytej staranności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla zapory ScreenOS 6.3.0r17 do r20
bez poprawki, z zarządzaniem dostępnym z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: przy panelu zarządzania dostępnym z internetu ryzyko jest krytyczne, bo hasło jest publiczne, a ataki zautomatyzowane; jeśli SSH i TELNET odpowiadają tylko z zaufanych adresów, ryzyko spada (CERT/CC obniża ocenę środowiskową do 6.2), a firma bez urządzeń ScreenOS jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy w firmie lub oddziałach działa jakiekolwiek urządzenie Juniper z ScreenOS, i odczytać dokładne wydanie systemu | Dziś | Administrator sieci / partner IT |
2 | 🔴 NATYCHMIAST | Ograniczyć dostęp do SSH, TELNET i panelu zarządzania do zaufanych adresów w biurze lub wyłącznie przez VPN; wyłączyć TELNET | Dziś | Administrator sieci |
3 | 🟠 PILNIE | Zainstalować poprawione wydanie (6.3.0r17b, r18b, r19b, r21 lub nowsze) albo zaplanować wymianę urządzenia | Do 3 dni | Administrator sieci / dostawca |
4 | 🟠 PILNIE | Przejrzeć konfigurację: nieznane konta, reguły ruchu, konta VPN, zmiany tras | Do 3 dni | Administrator sieci |
5 | 🟠 PILNIE | Przejrzeć dostępne logi logowań administracyjnych i połączeń VPN | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Sprawdzić u producenta, czy urządzenie i ScreenOS są jeszcze objęte wsparciem, i przygotować budżet na następcę | Do 30 dni | CTO / CFO |
7 | 🟡 WAŻNIE | Założyć spis urządzeń sieciowych z dostawcą, wersją oprogramowania i datą ostatniej aktualizacji | Do 30 dni | CTO |
Juniper wydał poprawione wersje ScreenOS w grudniu 2015 roku, więc docelowo trzeba je zainstalować lub wymienić urządzenie. CERT/CC wskazał dodatkowo ograniczenie połączeń zarządzających do zaufanych komputerów i sieci. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Dostęp do SSH i TELNET tylko z zaufanych adresów (zalecenie CERT/CC) | Wysoka wobec napastników z internetu, nie chroni przed kimś w sieci wewnętrznej | Łatwa |
Całkowite wyłączenie TELNET | Średnia: zostaje SSH | Łatwa |
Zarządzanie urządzeniem tylko przez osobną sieć administracyjną | Wysoka | Średnia |
Zmiana haseł administratora | Niska: ukryte hasło nadal działa | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wiedza o urządzeniu | Nikt nie pamięta, co stoi w szafie | Spisane: model, wersja, dostawca |
Dostęp do zarządzania | Otwarty na cały internet | Tylko z zaufanych adresów |
Ukryte hasło | Działa | Usunięte przez aktualizację lub wymianę urządzenia |
Konfiguracja | Mogła zostać zmieniona | Przejrzana, nieznane konta usunięte |
Zgodność z terminem CISA | Zaległość sprzed prawie 11 miesięcy | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA w 2025 roku); w 2015 roku CERT/CC nie znał złośliwego wykorzystania, ale hasło było już publiczne |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8/10 KRYTYCZNA (CVSS 3.1, NVD i CISA); 10.0 (CVSS 2.0, NVD) |
PoC dostępny publicznie? | TAK, hasło ujawniono publicznie w grudniu 2015 roku; NVD odsyła do materiałów badaczy na GitHubie |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku | Wg CISA możliwa, skutek techniczny całkowity |
Prognoza EPSS | Ok. 61% szansy próby wykorzystania w ciągu 30 dni, w najwyżej ocenianym 1% luk (wg analizy źródłowej) |
Uwaga dla działu IT: ten sam przegląd kodu ujawnił drugą lukę, CVE-2015-7756, pozwalającą odszyfrować ruch VPN. Jej zakres wersji trafił do opisu tekstowego CVE-2015-7755 w NVD, stąd różnice między dokumentami.
Sygnały zagrożenia dla CVE-2015-7755
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) ~61% ████████████░░░░░░░░ górny 1%
CISA KEV TAK ████████████████████ ataki potwierdzone
Hasło publiczne TAK ████████████████████ od grudnia 2015
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2015-12-17 Juniper ogłasza lukę i poprawki (biuletyn pozacykliczny, JSA10713)
2015-12-19 Publikacja CVE-2015-7755 w NVD
2015-12-21 Nota CERT/CC VU#640184
... prawie 10 lat bez wpisu w KEV
2025-10-02 CISA dodaje lukę do katalogu KEV
2025-10-23 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta: supportportal.juniper.net, 2015-12 Out of Cycle Security Bulletin ScreenOS . Nota CERT/CC: kb.cert.org/vuls/id/640184 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2015-7755 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, czy w firmie działają urządzenia Juniper z ScreenOS | CTO | DZISIAJ |
2 | Uzyskać potwierdzenie, że zarządzanie urządzeniem nie jest dostępne z internetu | CTO | DZISIAJ |
3 | Zatwierdzić aktualizację lub wymianę urządzenia | CTO | DO JUTRA |
4 | Oszacować koszt nowej zapory i wdrożenia | CFO | DO JUTRA |
5 | Zlecić przegląd konfiguracji i kont VPN | CTO | DO JUTRA |
6 | Ustalić, kto jest dziś odpowiedzialny za urządzenia sieciowe (firma czy dostawca) | CTO | DO JUTRA |
7 | Sprawdzić, czy polisa cyberubezpieczenia wyklucza szkody na sprzęcie ze znanymi, nienaprawionymi lukami | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy w firmie lub oddziałach działa urządzenie z ScreenOS? | TAK / NIE | 🔴 |
2 | Jakie dokładnie wydanie ScreenOS jest na urządzeniu? | [wersja] | 🔴 |
3 | Czy SSH, TELNET lub panel zarządzania są dostępne z internetu? | TAK / NIE | 🔴 |
4 | Czy w konfiguracji są nieznane konta, reguły lub dostępy VPN? | TAK / NIE | 🟠 |
5 | Kiedy urządzenie było ostatnio aktualizowane? | [data] | 🟠 |
6 | Czy urządzenie jest objęte wsparciem producenta? | TAK / NIE | 🟠 |
7 | Do kiedy możemy wymienić zaporę na wspierany model? | [data] | 🟡 |
CVE-2015-7755 to ukryte hasło w Juniper ScreenOS, które od 2015 roku daje każdemu pełny dostęp administratora do zapory przez SSH lub TELNET. CISA w 2025 roku potwierdziła, że jest nadal wykorzystywane, więc firmy, w których taki sprzęt jeszcze działa, powinny dziś odciąć jego zarządzanie od internetu i zaplanować aktualizację lub wymianę.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Google i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.