Worum es geht

Juniper Apstra (ehemals bekannt als AOS) automatisiert alle Aspekte der Rechnzentrums-Netzwerkplanung, des Aufbaus, der Bereitstellung und des Betriebs. JUNOS ist das "Juniper Network Operating System", das in Juniper Appliances verwendet wird. Die Switches der QFX-Serie von Juniper sichern und automatisieren Netzwerke in Rechenzentren. Die Juniper MX-Serie ist eine Produktfamilie von Routern. SRX Series Services Gateways ist ein Next-Generation Anti-Threat Firewall von Juniper. Junos Space ist eine Software-Plattform, die eine Reihe von Applikationen für das Netzwerkmanagement beinhaltet. Ein Angreifer kann mehrere Schwachstellen in Juniper Apstra, Junos OS, Junos OS Evolved und Junos Space ausnutzen, um erweiterte Berechtigungen – sogar Root-Rechte – zu erlangen, beliebigen Code auszuführen – auch mit erweiterten Berechtigungen –, Sicherheitsmaßnahmen zu umgehen, vertrauliche Informationen offenzulegen, Cross-Site-Scripting-Angriffe durchzuführen oder Daten zu manipulieren.

Unter welchen Bedingungen?

Das BSI nennt keine besonderen Voraussetzungen. Laut BSI aus der Ferne ausnutzbar.

Was schlimmstenfalls passieren kann

Ein Angreifer könnte die Lücke nutzen, um

• erweiterte Berechtigungen – sogar Root-Rechte – zu erlangen
• beliebigen Code auszuführen – auch mit erweiterten Berechtigungen –
• Sicherheitsmaßnahmen zu umgehen
• vertrauliche Informationen offenzulegen
• Cross-Site-Scripting-Angriffe durchzuführen oder Daten zu manipulieren

Bin ich betroffen?

Betroffen sind laut BSI:

• Juniper Apstra <6.1.1
• Juniper JUNOS OS
• Juniper JUNOS OS Evolved
• Juniper QFX Series
• Juniper MX Series
• Juniper SRX Series
• Juniper Junos Space <24.1R5 Patch V3

Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.

Was hilft?

Aktualisieren auf mindestens:

• Juniper Apstra 6.1.1
• Juniper Junos Space 24.1R5 Patch V3

Wird die Lücke schon ausgenutzt?

Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.