Vulnerabilidade crítica em Junos OS Evolved pode permitir execução remota como root em PTX Series

Os PTX Series são roteadores de núcleo pensados para ambientes de alta capacidade e baixa latência — muito habituais em provedores de internet, operadoras e grandes nuvens — e por isso qualquer falha nestes aparelhos tem potencial de impacto em grande escala. O Resumo das Características do Medicamento pode ser consultado no site de Juniper: PTX Series roteadores.

A raiz do problema é uma atribuição de permissões incorretas dentro do componente encarregado da detecção de anomalias “on-box”. Esse quadro de detecção deveria se comunicar apenas através da interface de roteamento interna, mas um erro permitiu que ficasse acessível através de um porto exposto para redes externas. Ao executar o serviço com privilégios de sistema (root) e estar ativado por defeito, a exposição gera uma via direta para comprometer a equipe se um atacante puder alcançar esse porto da rede.

A vulnerabilidade tem sido registrada como CVE-2026-21902, e Juniper publicou um aviso técnico com detalhes e recomendações em seu portal de suporte: avisos de segurança de Juniper. Segundo o fabricante, no momento da publicação não havia indícios de que a vulnerabilidade estivesse sendo explorada ativamente na natureza, mas isso não mitiga o risco inerente enquanto houver instalações sem adesivo.

Quanto ao alcance, a falha afeta as edições Junos OS Evolved no PTX em releases anteriores a 25.4R1-S1-EVO e 25.4R2-EVO; Juniper distribuiu correções nas versões 25.4R1-S1-EVO, 25.4R2-EVO e 26.2R1-EVO. É importante destacar que as versões anteriores a 25.4R1-EVO e os ramos padrão (não Evolved) de Junos OS não são consideradas afetadas por esta CVE. Convém também ter em conta que Juniper não avalia lançamentos que já estão em fase de fim de suporte (EoL), pelo que as equipes que executam releases fora de manutenção poderiam ficar sem mitigações oficiais.

Se não for possível aplicar imediatamente o adesivo, Juniper sugere reduzir a exposição do serviço vulnerável limitando o acesso aos endpoints afetados por filtros de firewall ou listas de controle de acesso (ACL) para que apenas redes e hosts de confiança possam comunicar com a equipe. Como alternativa temporária, os administradores podem desativar o serviço de detecção de anomalias com o seguinte comando no plano de controle da equipe: 'request pfe anomalies disable'. É necessário avaliar que a desativação dessa funcionalidade pode afetar a visibilidade e a detecção de comportamentos anormais na rede, pelo que deve ser considerada como medida temporária até a atualização.

Para operadores e equipamentos de engenharia, a recomendação prática é priorizar uma atualização planejada quanto possível, realizar os testes necessários em ambientes de pré-produção e implantar os adesivos durante janelas de manutenção controladas. Além disso, convém rever as configurações de segmentação de rede, assegurar que as interfaces administrativas e de gestão não estejam expostas a redes não confiáveis e monitorar os logs e telemetrias da equipe em busca de acessos anormais.

As equipas de infra-estruturas de rede são normalmente alvos atrativos para operadores avançados: a sua posição na topologia e a sua capacidade de mover grandes volumes de tráfego torna-os dianas de alto valor. Juniper viu em anos recentes várias campanhas que tinham como objetivo infraestrutura de rede, pelo que esta classe de vulnerabilidades exige uma resposta rápida e coordenada entre fornecedores, operadores e equipamentos de segurança.

Se você gerir infra-estruturas incluindo o PTX com Junos OS Evolved, verifique com urgência o inventário de versões, aplique as correções fornecidas por Juniper e, entretanto, reduz a superfície de ataque de acordo com as guias do fabricante. A combinação de adesivo, segmentação e detecção é a melhor forma de minimizar o risco até que todos os equipamentos estejam atualizados. Para informações oficiais e detalhes técnicos adicionais, é recomendável ler o boletim de Juniper e a entrada do NVD ligado acima.