A Juniper Networks frissítéseket adott ki az SRX sorozatú tűzfalak és EX sorozatú switchek kritikus távoli kódfuttatási (RCE) sebezhetőségének javítására.
A CVE-2024-21591 néven nyomon követett probléma a CVSS pontozási rendszerben 9,8-as értéket kapott. A Juniper Networks Junos OS SRX sorozatú és EX sorozatú Juniper Networks Junos OS J-Web rendszerében található out-of-bounds write sebezhetőség lehetővé teszi egy nem hitelesített, hálózat alapú támadó számára, hogy Denial-of-Service (DoS) vagy Remote Code Execution (RCE) műveletet hajtson végre, és root jogosultságokat szerezzen az eszközön.
A hiba a következő verziókat érinti:
-
- Junos OS 20.4R3-S9-nél korábbi verziók
- Junos OS 21.2 21.2R3-S7-nél korábbi verziók
- Junos OS 21.3 21.3R3-S5-nél korábbi verziók
- Junos OS 21.4 21.4R3-S5-nél korábbi verziók
- Junos OS 22.1 22.1R3-S4-nél korábbi verziók
- Junos OS 22.2 22.2R3-S3 előtti verziók
- Junos OS 22.3R3-S2-nél korábbi 22.3R3-S2 Junos OS 22.3 verziók
- Junos OS 22.4 22.4R2-S2, 22.4R3, 22.4R2-S2 és 22.4R3 verziókat megelőző Junos OS 22.4 verziók
A javítások telepítéséig a vállalat ideiglenes megoldásként azt ajánlja, hogy a felhasználók tiltsák le a J-Webet, vagy korlátozzák a hozzáférést csak a megbízható hosztokra.
A hiba a 20.4R3-S9, 21.2R3-S7, 21.3R3-S5, 21.4R3-S5, 22.1R3-S4, 22.2R3-S3, 22.3R3-S2, 22.4R2-S2, 22.4R3, 23.2R1-S1, 23.2R2, 23.4R1 és újabb verziókban már javítva van.
A Juniper Networks szintén megoldott egy magas súlyosságú hibát a Junos OS és a Junos OS Evolved rendszerekben (CVE-2024-21611, CVSS érték: 7.5), amelyet egy nem hitelesített, hálózati támadó DoS állapot előidézésére használhat fegyverként.
Bár nincs bizonyíték arra, hogy a sebezhetőségeket aktívan kihasználnák, a vállalat SRX tűzfalait és EX switch-eit érintő több biztonsági hiányossággal korábban már visszaéltek a támadók.