この脆弱性は特に危険です。このモデルはネットワークコアに位置しているため、攻撃者がデータを傍受またはリダイレクトできると専門家は述べています。
環境にJuniper PTXシリーズルーターを持つネットワーク管理者は、新たに発見された重大な脆弱性により、認証されていない脅威アクターがルート権限でコードを実行する可能性があるため、すぐにパッチを適用するよう警告されています。
このホールは「特に危険です。これらのデバイスはしばしばネットワークの周辺ではなく真ん中に配置されるからです」とPiyush Sharma、TuskiraのCEOは述べました。「攻撃者がPTXの制御を得た場合、単一のデバイス侵害よりも影響が大きくなります。それは同時にトラフィックの有利なポイントと制御ポイントになる可能性があるからです。これにより、データフローの秘密裏の傍受、コントローラーによるリダイレクトされたトラフィック、または隣接するネットワークへの簡単なピボットの扉が開かれます。」
この問題は、25.4R1-S1-EVO および25.4R2-EVOより前のバージョンのJunos OS Evolvedオペレーティングシステムを実行しているPTXルーターに影響します。標準のJunos OSには影響しません。
通知の中で、Juniperはこの脆弱性の悪意のある悪用について認識していないと述べました。このホール（穴）は内部製品セキュリティテストまたは研究の間に発見されました。
PTXラインは、HPE Juniper Networksの最新世代のカスタムExpressファミリーASICで駆動され、400Gおよびおよび800G移行用に最適化されたモジュール型高性能コアルーターのシリーズです。それらは、ネイティブ400Gおよび800Gインラインマックセック、深いバッファリング、および柔軟なフィルタリングを提供します。同社は、コア、ピアリング、データセンター相互接続、データセンターエッジ、メトロ集約、およびAIデータセンターネットワーキングを含む、要求の厳しいWAN（ワイドエリアネットワーク）およびデータセンターのユースケースとデプロイメントシナリオでの長寿命のために構築されていると述べています。
その通知の中で、Juniperはオペレーティングシステムのオンボックス異常検知フレームワーク内の重大なリソースに対する不正な権限割り当て脆弱性により、認証されていないネットワークベースの攻撃者がルートとしてコードを実行できると述べています。検出フレームワークはデフォルトで有効です。
「オンボックス異常検知フレームワークは、内部ルーティングインスタンスを介して他の内部プロセスのみで到達可能であり、外部に公開されたポートを介してではないはずです」とアラートは追加しています。「ルートとしてコードを実行するサービスにアクセスおよび操作する機能があれば、リモート攻撃者はデバイスの完全な制御を獲得できます。」
問題を解決するために、管理者はJunos OS Evolvedのバージョン25.4R1-S1-EVOがインストールされていることを確認する必要があります。また、バージョン25.4R2-EVOおよび26.2R1-EVOが間もなく利用可能になることに注意する必要があります。
更新プログラムをすぐにインストールできない場合、管理者はアクセス制御リストまたはファイアウォールフィルターを使用して、信頼できるネットワークとホストのみへのアクセスを制限し、この問題の悪用のリスクを低減する必要があります。そのようなフィルターが明示的に必要な接続のみを許可し、他のすべてをブロックしていることを確認してください。
別のオプションは、オペレーティングシステムのコマンドラインでrequest pfe anomalies disableと入力してサービスを無効にすることです。
Sharmaは、長期的な足がかりが確立された場合、ルーターが提供するプレミアムな位置付けのため、Juniperの脆弱性は長年にわたってハッカーから多くの関心を引き付けてきたと述べました。「ネットワークオペレーティングシステムとして、Junosはアイデンティティ、ポリシー、トラフィックなどの主要な制御ポイントの交差点に位置しています。これは、単一のエクスプロイトが価値のあるネットワーク全体で迅速にスケーリングできることを意味します」と彼は述べました。「さらに、これらの足がかりは、攻撃者が脆弱なデバイスを見つけて悪用するための長い時間枠を提供します。なぜなら、コアネットワーク機器は長いダウンタイムのため、パッチを適用するのが困難だからです。」
現在の欠陥のような脆弱性が悪用につながることを防ぐために、組織はネットワーク全体の異常を継続的に監視し、悪意のある動作が検出されたときにセキュリティチームにアラートを通知できるディフェンスプラットフォームが必要であると、彼は追加しました。
