.
Uma vulnerabilidade crítica que afeta os roteadores da Juniper Networks forçou o fornecedor a emitir patches de emergência na semana passada, e os usuários são aconselhados a aplicá-los o mais rápido possível.
O bug de bypass de autenticação, rastreado como CVE-2024-2973, obteve uma classificação perfeita de 10 nos sistemas CVSS 3.1 e CVSS 4, ilustrando a seriedade do problema.
“Um desvio de autenticação usando uma vulnerabilidade de caminho ou canal alternativo no Juniper Networks Session Smart Router ou Conductor em execução com um peer redundante permite que um invasor baseado em rede ignore a autenticação e assuma o controle total do dispositivo”, disse a Juniper em seu comunicado.
O bug afeta o Smart Session Router da Juniper, a plataforma de gerenciamento Session Smart Conductor e os roteadores WAN Assurance, e apenas aqueles que executam configurações redundantes de alta disponibilidade são vulneráveis.
Embora ainda não haja evidências que sugiram que a vulnerabilidade tenha sido explorada, o fato de a Juniper ter lançado os patches fora do ciclo normal dos produtos sugere a preocupação do fornecedor sobre sua gravidade e capacidade de exploração.
Com o CVE-2024-2973 afetando também dispositivos que executam configurações de alta disponibilidade, ataques bem-sucedidos têm o potencial de causar interrupções significativas.
Quanto às versões vulneráveis específicas, por exemplo Roteadores inteligentes de sessão isso é:
-
Todas as versões anteriores a 5.6.15
-
De 6,0 a 6,1,9 litros
-
De 6,2 antes de 6,2,5-pts
Para Condutor Inteligente de Sessão:
-
Todas as versões anteriores a 5.6.15
-
De 6.0 antes de 6.1.9-lts
-
De 6,2 a 6,2,5 pontos
E para Roteadores com garantia de WAN:
Para roteadores gerenciados pela plataforma Session Smart Conductor, a Juniper disse que, desde que os nós do Conductor sejam atualizados, as correções de segurança serão aplicadas automaticamente aos roteadores conectados.
O fornecedor ainda recomenda atualizar cada roteador vulnerável individualmente, mas seria mais rápido proteger contra CVE-2024-2973 apenas atualizando os nós do Conductor antes de fazer o trabalho completo.
Os WAN Assurance Routers também já teriam o patch aplicado automaticamente se fossem gerenciados e conectados à Juniper Mist, sua plataforma de nuvem baseada em IA.
“É importante observar que a correção é aplicada automaticamente em roteadores gerenciados por um Condutor ou em WAN Assurance Routers não tem impacto nas funções do plano de dados do roteador. A aplicação da correção não prejudica o tráfego de produção”, Juniper disse.
“Pode haver um tempo de inatividade momentâneo (menos de 30 segundos) no gerenciamento baseado na web e nas APIs, mas isso será resolvido rapidamente.” ®
.
