CVE-2025-21590

Adatlap

CVE: CVE-2025-21590
EUVD: EUVD-2025-6303
GHSA: GHSA-jwv5-xmf5-mp56
Eszköztípus: IT
Publikálva: 2025. 03. 12. 14:59
Frissítve: 2026. 02. 26. 20:09
Súlyosság: Közepes
Prioritás: Riasztás
CWE: CWE-653

CVSS-pontszámok

Verzió	Pontszám	Súlyosság	Vektor
3.1	4,4	Közepes	`CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:N`
4.0	6,7	Közepes	`CVSS:4.0/AV:L/AC:L/AT:N/PR:H/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N`

Helyi hozzáférés szükséges · Alacsony komplexitás · Magas jogosultság szükséges · Nem szükséges felhasználói interakció

Eredeti leírás

An Improper Isolation or Compartmentalization vulnerability in the kernel of Juniper Networks Junos OS allows a local attacker with high privileges to compromise the integrity of the device.

A local attacker with access to the shell is able to inject arbitrary code which can compromise an affected device.
This issue is not exploitable from the Junos CLI.
This issue affects Junos OS:

* All versions before 21.2R3-S9,
* 21.4 versions before 21.4R3-S10,
* 22.2 versions before 22.2R3-S6,
* 22.4 versions before 22.4R3-S6,
* 23.2 versions before 23.2R2-S3,
* 23.4 versions before 23.4R2-S4,
* 24.2 versions before 24.2R1-S2, 24.2R2.

Érintett termékek

Junos OS Juniper Networks Verziók: 0 – < 21.2R3-S9; 21.4 – < 21.4R3-S10; 22.2 – < 22.2R3-S6; 22.4 – < 22.4R3-S6; 23.2 – < 23.2R2-S3; 23.4 – < 23.4R2-S4; 24.2 – < 24.2R1-S2, 24.2R2

Prioritás

Szint: Riasztás
Teendő: Azonnali intézkedés javasolt: a szoftvert 24 órán belül frissítse. Ha a frissítés nem telepíthető azonnal, alkalmazza a gyártó által javasolt kerülő megoldást, és a javításig fokozottan figyelje a sérülékenység kihasználására irányuló kísérleteket.

Kihasználási státusz

EPSS: 1,75%
Kihasználtság: Aktív
Kihasználás óta: 2025. 03. 13.
Automatizálhatóság: Nem
Technikai hatás: Teljes
Exploitok: At least one instance of malicious exploitation has been reported to the Juniper SIRT. Customers are encouraged to upgrade to a fixed release as soon as it's available and in the meantime take steps to mitigate this vulnerability.

Javítás

Javított verzió: 21.2R3-S9, 21.4R3-S10, 22.2R3-S6, 22.4R3-S6, 23.2R2-S3, 23.4R2-S4, 24.2R1-S2, 24.2R2
Gyártói hivatkozás: Van patch vagy gyártói közlemény a hivatkozások között

Megoldás (CNA)

The following software releases have been updated to resolve this specific issue: 21.2R3-S9, 21.4R3-S10, 22.2R3-S6, 22.4R3-S6, 23.2R2-S3, 23.4R2-S4, 24.2R1-S2, 24.2R2, 24.4R1, and all subsequent releases.

Please note that this issue is not fixed for all platforms in the releases specified in the solution section.

For the following products the fix is only available in these releases:

SRX300 Series 21.2R3-S9, 23.4R2-S5*, 24.4R1

SRX550HM 22.2R3-S7*

EX4300 Series 21.4R3-S11* (except EX4300-48MP which has fixes available as indicated in the solution)

EX4600 21.4R3-S11* (except EX4650 which has fixes available as indicated in the solution)

ACX1000, ACX1100, ACX2100, ACX2200, ACX4000,

ACX500 21.2R3-S9

MX104 21.2R3-S9

* Future Release

Kerülő megoldás (CNA)

It is strongly recommended to mitigate the risk of exploitation by restricting shell access to trusted users only.