Juniper製ネットワーク機器のウェブ管理画面に深刻な脆弱性

Juniper Networksが提供するファイアウォール「SRXシリーズ」やスイッチ「EXシリーズ」にリモートより認証なしにコードを実行できる脆弱性が明らかとなった。

両シリーズに実装されている「Junos OS」のウェブ管理インタフェース「J-web」に域外メモリへ書き込む脆弱性「CVE-2024-21591」が判明したもの。現地時間1月10日にセキュリティアドバイザリを公開した。悪用は確認されていないという。

認証を必要とすることなくネットワーク経由で攻撃が可能で、悪用されるとリモートよりコードを実行され、root権限を取得されるおそれがある。共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は「クリティカル（Critical）」とレーティングされている。

同社は、「Junos OS 23.4R1」「同23.2R2」「同23.2R1-S1」「同22.4R3」「同22.4R2-S2」「同22.3R3-S2」「同22.2R3-S3」「同22.1R3-S4」「同21.4R3-S5」「同21.3R3-S5」「同21.2R3-S7」「同20.4R3-S9」にて同脆弱性を修正した。

また回避策として「J-Web」を無効化するか、アクセスを信頼できるホストに制限することを挙げている。

（Security NEXT - 2024/01/16 ）ツイート

Juniper製ネットワーク機器のウェブ管理画面に深刻な脆弱性

関連リンク

PR

関連記事