Juniper Networks a publié des mises à jour de sécurité hors bande pour corriger une faille de sécurité critique qui pourrait conduire à un contournement de l’authentification sur certains de ses routeurs.
La vulnérabilité, suivie comme CVE-2024-2973, porte un score CVSS de 10,0, indiquant une gravité maximale.
« Une vulnérabilité de contournement d’authentification utilisant un chemin ou un canal alternatif dans le routeur intelligent ou le conducteur de session Juniper Networks fonctionnant avec un homologue redondant permet à un attaquant basé sur le réseau de contourner l’authentification et de prendre le contrôle total de l’appareil », a déclaré la société dit dans un avis publié la semaine dernière.
Selon Juniper Networks, cette faille ne concerne que les routeurs ou les conducteurs fonctionnant dans des configurations redondantes à haute disponibilité. La liste des appareils concernés est répertoriée ci-dessous :
- Session Smart Router (toutes les versions avant 5.6.15, de 6.0 avant 6.1.9-lts et de 6.2 avant 6.2.5-sts)
- Session Smart Conductor (toutes les versions antérieures à 5.6.15, de 6.0 à 6.1.9-lts et de 6.2 à 6.2.5-sts)
- Routeur WAN Assurance (versions 6.0 antérieures à 6.1.9-lts et versions 6.2 antérieures à 6.2.5-sts)
Le fabricant d’équipements de réseau, racheté par Hewlett Packard Enterprise (HPE) pour environ 14 milliards de dollars plus tôt cette année, a déclaré n’avoir trouvé aucune preuve d’exploitation active de la faille dans la nature.
Il a également déclaré avoir découvert la vulnérabilité lors de tests internes du produit et qu’il n’existait aucune solution de contournement permettant de résoudre le problème.
« Cette vulnérabilité a été corrigée automatiquement sur les appareils concernés pour les routeurs WAN Assurance gérés par MIST connectés au Mist Cloud », a-t-il ajouté. « Il est important de noter que le correctif est appliqué automatiquement sur les routeurs gérés par un conducteur ou sur les routeurs d’assurance WAN et n’a aucun impact sur les fonctions du plan de données du routeur. »
En janvier 2024, la société a également déployé des correctifs pour une vulnérabilité critique dans les mêmes produits (CVE-2024-21591, score CVSS : 9,8) qui pourrait permettre à un attaquant de provoquer un déni de service (DoS) ou une exécution de code à distance et d’obtenir des privilèges root sur les appareils.
Avec de multiples failles de sécurité affectant les pare-feu SRX et les commutateurs EX de l’entreprise, militarisés par des acteurs malveillants l’année dernière, il est essentiel que les utilisateurs appliquent les correctifs pour se protéger contre les menaces potentielles.