发布日期：2004-10-06
更新日期：2004-10-08

受影响系统：

Juniper Networks Neoteris IVE 4.x
Juniper Networks Neoteris IVE 3.x

描述：

---

CVE(CAN) ID: CVE-2004-0939

Juniper Neoteris IVE是可以通过标准WEB浏览器“无需客户端”访问内部网络的SSL VPN解决方案。

Juniper Neoteris IVE包含的'changepassword.cgi'存在问题，远程攻击者可以利用这个漏洞无限制地暴力猜测密码。

当用户密码过期并在后续继续尝试进行系统验证时，'changepassword.cgi'脚本没有对用户的访问进行限制和验证，此脚本允许用户尝试以过期的密码登录，并对验证尝试没有作任何限制。结果可导致拥有过期密码的合法用户帐户的远程用户可进行暴力猜测密码攻击。

此漏洞只针对配置了LDAP或NT域验证服务的系统。

<*来源：Jian Hui Wang （jhwang@gosecure.ca）
  
  链接：http://www.gosecure.ca/SecInfo/gosecure-2004-10.txt
*>

建议：

---

厂商补丁：

Juniper Networks
----------------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://www.juniper.net/alerts/viewalert.jsp?actionBtn=Seach&txtAlertNumber=PSN-2004-08-25&viewMode=view

浏览次数：2988
严重程度：0（网友投票）