Vulnérabilité critique chez Junos OS Evolved pourrait permettre l'exécution à distance comme racine dans la série PTX

Les PTX Série sont des routeurs de base conçus pour des environnements à haute capacité et à faible latence - très courants dans les fournisseurs d'Internet, les opérateurs et les grands nuages -; par conséquent, toute défaillance de ces appareils a un potentiel d'impact à grande échelle. La spécification du produit est disponible sur le site Juniper: PTX Routeurs de série.

La racine du problème est une mauvaise répartition des permissions au sein du composant responsable de la détection des anomalies "on-box". Ce cadre de détection ne devrait être communiqué que par l'intermédiaire de l'interface de routage interne, mais une erreur lui a permis d'être accessible par un port exposé aux réseaux externes. Lors de l'exécution du service avec les privilèges système (root) et étant activé par défaut, l'exposition génère un moyen direct de compromettre l'équipement si un attaquant peut atteindre ce port depuis le réseau.

La vulnérabilité a été enregistrée comme CVE-2026-21902, et Juniper a publié un avis technique avec des détails et des recommandations sur leur portail de support: Avis de sécurité de Juniper. Selon le fabricant, au moment de la publication, rien n'indiquait que la vulnérabilité était activement exploitée dans la nature, mais cela n'a pas atténué le risque inhérent pendant que des installations étaient en place.

En termes de portée, l'échec affecte les éditions Junos OS Evolved in PTX dans les versions antérieures à 25.4R1-S1-EVO et 25.4R2-EVO; Juniper a distribué des corrections dans les 25.4R1-S1-EVO, 25.4R2-EVO et 26.2R1-EVO. versions Il est important de noter que les versions précédentes de 25,4R1-EVO et les branches standard (non évolutives) de Junos OS ne sont pas considérées comme affectées par cette EQE. Il convient également de garder à l'esprit que Juniper n'évalue pas les lancements qui sont déjà en phase de fin de soutien (EoL), de sorte que les équipes qui sortent de l'entretien pourraient être laissées sans atténuation officielle.

S'il n'est pas possible d'appliquer le patch immédiatement, Juniper suggère de réduire l'exposition au service vulnérable en limitant l'accès aux paramètres touchés par les filtres pare-feu ou les listes de contrôle d'accès (LAC) afin que seuls des réseaux et des hôtes fiables puissent communiquer avec l'équipe. Comme alternative temporaire, les administrateurs peuvent désactiver le service de détection d'anomalies avec la commande suivante dans le plan de contrôle de l'équipement: 'question d'anomalies pfe désactivées'. Il convient d'évaluer que la désactivation de cette fonctionnalité peut affecter la visibilité et la détection des comportements anormaux dans le réseau, et donc être considérée comme une mesure temporaire jusqu'à la mise à jour.

Pour les opérateurs d'ingénierie et l'équipement, la recommandation pratique est de prioriser une mise à jour planifiée dès que possible, d'effectuer les essais nécessaires dans les environnements de préproduction et de déployer les correctifs pendant les fenêtres de maintenance contrôlées. En outre, il convient d'examiner les configurations de segmentation du réseau, de s'assurer que les interfaces administratives et de gestion ne sont pas exposées à des réseaux peu fiables et de surveiller le journal de bord et la télémétrie de l'ordinateur pour l'accès anormale.

Les équipements d'infrastructure réseau sont souvent des cibles attrayantes pour les opérateurs avancés: leur position en topologie et leur capacité à déplacer de grands volumes de trafic en font des dianas de grande valeur. Juniper a vu ces dernières années diverses campagnes visant l'infrastructure du réseau, de sorte que ce type de vulnérabilité nécessite une réponse rapide et coordonnée entre fournisseurs, opérateurs et équipements de sécurité.

Si vous gérez l'infrastructure y compris PTX avec Junas OS Evolved, vérifiez l'inventaire des versions d'urgence, appliquez les corrections fournies par Juniper et, en attendant, réduisez la surface d'attaque selon les guides du fabricant. La combinaison de patching, segmentation et détection est la meilleure façon de minimiser le risque jusqu'à ce que tout l'équipement soit mis à jour. Pour des informations officielles et des détails techniques supplémentaires, il est recommandé de lire la newsletter Juniper et la rubrique NVD liée ci-dessus.