What it is about

Juniper Apstra (ehemals bekannt als AOS) automatisiert alle Aspekte der Rechnzentrums-Netzwerkplanung, des Aufbaus, der Bereitstellung und des Betriebs. JUNOS ist das "Juniper Network Operating System", das in Juniper Appliances verwendet wird. Die Switches der QFX-Serie von Juniper sichern und automatisieren Netzwerke in Rechenzentren. Die Juniper MX-Serie ist eine Produktfamilie von Routern. SRX Series Services Gateways ist ein Next-Generation Anti-Threat Firewall von Juniper. Junos Space ist eine Software-Plattform, die eine Reihe von Applikationen für das Netzwerkmanagement beinhaltet. Ein Angreifer kann mehrere Schwachstellen in Juniper Apstra, Junos OS, Junos OS Evolved und Junos Space ausnutzen, um erweiterte Berechtigungen – sogar Root-Rechte – zu erlangen, beliebigen Code auszuführen – auch mit erweiterten Berechtigungen –, Sicherheitsmaßnahmen zu umgehen, vertrauliche Informationen offenzulegen, Cross-Site-Scripting-Angriffe durchzuführen oder Daten zu manipulieren.

Under what conditions?

The BSI does not name any particular preconditions. Exploitable remotely according to the BSI.

What can happen in the worst case

An attacker could use the vulnerability to

• erweiterte Berechtigungen – sogar Root-Rechte – zu erlangen
• beliebigen Code auszuführen – auch mit erweiterten Berechtigungen –
• Sicherheitsmaßnahmen zu umgehen
• vertrauliche Informationen offenzulegen
• Cross-Site-Scripting-Angriffe durchzuführen oder Daten zu manipulieren

Am I affected?

Affected according to the BSI:

• Juniper Apstra <6.1.1
• Juniper JUNOS OS
• Juniper JUNOS OS Evolved
• Juniper QFX Series
• Juniper MX Series
• Juniper SRX Series
• Juniper Junos Space <24.1R5 Patch V3

The installed version is usually shown under “Help → About” or in the device’s admin interface.

What helps?

Update to at least:

• Juniper Apstra 6.1.1
• Juniper Junos Space 24.1R5 Patch V3

Is the vulnerability already being exploited?

None of the CVEs is in the CISA catalogue of exploited vulnerabilities. That does not mean there are no attacks, only that none are documented.