Juniper opravuje kritickou zranitelnost

Společnost Juniper Networks vydala nouzovou aktualizaci, která řeší zranitelnost s maximální závažností vedoucí k obejití ověřování v produktech Session Smart Router (SSR), Session Smart Conductor a WAN Assurance Router.

Bezpečnostní chyba je sledována jako CVE-2024-2973 a útočník ji může zneužít k úplnému ovládnutí zařízení.

"Zranitelnost Authentication Bypass Using an Alternate Path or Channel v Juniper Networks Session Smart Router nebo Conductor umožňuje síťovému útočníkovi obejít ověřování a převzít plnou kontrolu nad zařízením. Tato zranitelnost se týká pouze zařízení provozovaných v redundantních konfiguracích s vysokou dostupností" uvádí společnost Juniper v bezpečnostním upozornění.

Správci používají redundantní konfigurace s vysokou dostupností tam, kde je zapotřebí kritická kontinuita služeb. Tato konfigurace je nezbytná pro zachování nepřerušených služeb a zvýšení odolnosti proti nepředvídaným událostem.

Proto je tato zranitelná konfigurace poměrně běžná v kritické síťové infrastruktuře, včetně velkých podniků, datových center, telekomunikací, elektronického obchodu a vládních či veřejných služeb.

Verze produktů, kterých se CVE-2024-2973 týká, jsou:

Relace Smart Router & Conductor:

• Všechny verze před 5.6.15
• Od verze 6.0 před 6.1.9-lts
• Od 6.2 před 6.2.5-sts

WAN Assurance:

• Verze 6.0 před 6.1.9-lts
• 6.2 verze před 6.2.5-sts

Pro Session Smart Router byly zpřístupněny aktualizace ve verzích 5.6.15, 6.1.9-lts a 6.2.5-sts.

WAN Assurance jsou po připojení ke cloudu Mist Cloud opravovány automaticky, ale správci clusterů s vysokou dostupností musí provést aktualizaci na verzi SSR-6.1.9 nebo SSR-6.2.5.

Dodavatel ujišťuje zákazníky, že aplikace opravy nenaruší produkční provoz a měla by mít minimální dopad na zhruba 30sekundový výpadek webové správy a API rozhraní.