A Juniper Networks frissítéseket adott ki az SRX és az EX sorozat magas súlyosságú hibáinak kezelésére, amelyeket kihasználva egy támadó átveheti az irányítást a rendszerek felett.
A CVE-2024-21619 és CVE-2024-21620 néven nyomon követhető sebezhetőségek a J-Web komponensből erednek, és a Junos OS minden verzióját érintik. Két másik hibát (CVE-2023-36846 és CVE-2023-36851) a vállalat 2023 augusztusában hozta nyilvánosságra.
CVE-2024-21619 (CVSS pontszám: 5,3) – Hiányzó hitelesítési sebezhetőség, amely érzékeny konfigurációs információk felfedéséhez vezethet.
CVE-2024-21620 (CVSS pontszám: 8,8) – Cross-site scripting (XSS) sebezhetőség, amely egy speciálisan kialakított kéréssel tetszőleges parancsok végrehajtásához vezethet.
A két sebezhetőséget a következő verziókban javították:
CVE-2024-21619 – 20.4R3-S9, 21.2R3-S7, 21.3R3-S5, 21.4R3-S6, 22.1R3-S5, 22.2R3-S3, 22.3R3-S2, 22.4R3, 23.2R1-S2, 23.2R2, 23.4R1 és minden későbbi kiadás.
CVE-2024-21620 – 20.4R3-S10, 21.2R3-S8, 21.4R3-S6, 22.1R3-S5, 22.2R3-S3, 22.3R3-S2, 22.4R3-S1, 23.2R2, 23.4R2 és minden későbbi kiadás.
A javítások bevezetéséig a vállalat ideiglenes megoldásként azt javasolja, hogy a felhasználók tiltsák le a J-Webet, vagy korlátozzák a hozzáférést a megbízható hosztokra.
A CVE-2023-36846 és a CVE-2023-36851 az aktív kihasználásra utaló bizonyítékok alapján 2023 novemberében felkerült az amerikai Cybersecurity and Infrastructure Security Agency (CISA) KEV (Known Exploited Vulnerabilities) katalógusába.
2024. januárjában a Juniper Networks már kiadott egy frissítést, egy ugyanezen termékekben található kritikus sebezhetőség (CVE-2024-21591, CVSS pontszám: 9,8) javítására, amely lehetővé teszi a támadó számára, hogy szolgáltatásmegtagadást (DoS) vagy távoli kódfuttatást érjen el és root jogosultságokat szerezzen az eszközön.
