Kritische Schwachstelle in Junos Sicherheit Evolved könnte Remote-Ausführung als root in der PTX-Serie ermöglichen

Die PTX Serie sind Kernrouter für hohe Kapazität und niedrige Latenzumgebungen - sehr häufig in Internet-Anbietern, Betreibern und großen Wolken -; daher hat jeder Ausfall in diesen Geräten ein großes Einflusspotenzial. Die Produktspezifikation ist auf der Juniper Website verfügbar: PTX Router der Serie.

Die Wurzel des Problems ist eine falsche Zuordnung von Berechtigungen innerhalb der Komponente, die für die Erkennung von "on-box"-Anomalien verantwortlich ist. Dieser Erkennungsrahmen sollte nur über die interne Routing-Schnittstelle kommuniziert werden, aber ein Fehler erlaubt es, über einen Port, der externen Netzwerken ausgesetzt ist, zugänglich zu sein. Beim Betrieb des Dienstes mit Systemprivilegien (root) und standardmäßig aktiviert, erzeugt die Exposition einen direkten Weg, um die Ausrüstung zu kompromittieren, wenn ein Angreifer diesen Port aus dem Netzwerk erreichen kann.

Die Schwachstelle wurde als CVE-2026-21902, und Juniper veröffentlichte eine technische Mitteilung mit Details und Empfehlungen auf ihrem Support-Portal: Sicherheitshinweise von Juniper. Nach Angaben des Herstellers gab es zum Zeitpunkt der Veröffentlichung keinen Hinweis darauf, dass die Verwundbarkeit in der Natur aktiv ausgenutzt wurde, der jedoch das Eigenrisiko nicht abmildern konnte, während unpatched Anlagen vorhanden waren.

In Bezug auf den Umfang wirkt sich der Ausfall auf die Ausgaben Junos OS Evolved in PTX in Releases vor 25.4R1-S1-EVO und 25.4R2-EVO; Juniper hat Korrekturen in den 25.4R1-S1-EVO, 25.4R2-EVO und 26.2R1-EVO verteilt. Versionen Es ist wichtig zu beachten, dass die bisherigen Versionen von 25.4R1-EVO und die Standard (nicht weiterentwickelten) Zweige von Junos OS nicht als von diesem EQE betroffen angesehen werden. Es sollte auch beachtet werden, dass Juniper keine Starts auswertet, die bereits in der End-of-Support-Phase (EoL) liegen, so dass Teams, die Off-Maintenance-Releases ausführen, ohne offizielle Minderung verlassen werden können.

Wenn es nicht möglich ist, das Patch sofort anzuwenden, schlägt Juniper vor, die gefährdete Service-Exposition zu reduzieren, indem der Zugriff auf betroffene Endpunkte durch Firewall-Filter oder Access Control Lists (ACL) begrenzt wird, so dass nur zuverlässige Netzwerke und Hosts mit dem Team kommunizieren können. Als temporäre Alternative können Administratoren den Anomaly-Detektionsdienst mit folgendem Befehl in der Gerätesteuerungsebene deaktivieren: 'request pfe anomalies disable '. Es ist zu beurteilen, dass die Deaktivierung dieser Funktionalität die Sichtbarkeit und Detektion von anormalen Verhaltensweisen im Netzwerk beeinflussen kann und daher als vorübergehende Maßnahme bis zum Update betrachtet werden sollte.

Für Ingenieure und Geräte empfiehlt es sich, eine geplante Aktualisierung so bald wie möglich zu priorisieren, die erforderlichen Tests in Vorproduktionsumgebungen durchzuführen und die Patches während kontrollierter Wartungsfenster einzusetzen. Darüber hinaus ist es angebracht, die Netzwerksegmentierungskonfigurationen zu überprüfen, sicherzustellen, dass administrative und Management-Schnittstellen nicht unzuverlässigen Netzwerken ausgesetzt sind und die Protokoll- und Telemetrie des Computers für den anomalen Zugriff überwachen.

Netzwerk-Infrastruktur-Ausrüstung ist oft attraktive Ziele für fortgeschrittene Betreiber: ihre Position in Topologie und ihre Fähigkeit, große Mengen von Verkehr zu bewegen, machen sie hochwertig Dianas. Juniper hat in den letzten Jahren verschiedene Kampagnen für die Netzinfrastruktur gesehen, so dass diese Art der Sicherheitslücke eine schnelle und koordinierte Reaktion zwischen Lieferanten, Betreibern und Sicherheitsausrüstung erfordert.

Wenn Sie die Infrastruktur einschließlich PTX mit Junas OS Evolved verwalten, überprüfen Sie die Version Inventar dringend, wenden Sie die von Juniper bereitgestellten Korrekturen an und reduzieren Sie die Angriffsfläche nach den Führern des Herstellers. Die Kombination von Patching, Segmentierung und Erkennung ist der beste Weg, um das Risiko zu minimieren, bis alle Geräte aktualisiert werden. Für offizielle Informationen und zusätzliche technische Details wird empfohlen, den Juniper-Newsletter und den oben verlinkten NVD-Eintrag zu lesen.