Nachdem bereits am Freitag Notfall-Updates von Juniper Networks für Session Smart Router nötig waren, legt das Unternehmen nun mit einem Update außer der Reihe für das Junos OS auf Geräten der SRX-Baureihe nach. Sie dichten eine Denial-of-Service-Sicherheitslücke ab. Eine unzureichende Prüfung auf unübliche oder Ausnahme-Bedingungen in der Paket Forwarding Engine (PFE) des Junos OS auf Geräten der SRX-Baureihe ermöglicht nicht authentifizierten Angreifern aus dem Netz, einen Denial-of-Service zu provozieren. Sofern SRX-Geräte bestimmten, validen Traffic empfängt, der an das Gerät gerichtet ist, verursacht das einen Absturz der PFE und einen Neustart. Angreifer können eine andauernde DoS-Situation herbeiführen, indem sie wiederholt solchen Datenverkehr senden (CVE-2024-21586, CVSS 7.5, Risiko „hoch“). Nach den CVSS-4.0-Kriterien erreicht die Schwachstelle sogar eine Bewertung von CVSS 8.7, nur knapp an „kritischem“ Risiko vorbei. In der Sicherheitsmitteilung von Juniper Networks nennen die Autoren die betroffenen Versionen. Junos OS auf SRX-Geräten in den Reihen 21.4, 22.1, 22.2, 22.3 und 22.4 sind verwundbar. Die Updates sind teils nur minimale Release-Sprünge, erläutert Juniper, daher sei für die gefixten Versionen die letzte Ziffer als Minimalversion zu beachten. Die Fassungen 21.4R3-S7.9, 22.1R3-S5.3, 22.2R3-S4.11, 22.3R3 sowie 22.4R3 dichten die Lücke ab. Versionen vor 21.4R1 sind nicht anfällig. Zwar sind Juniper bislang keine Exploits in freier Wildbahn bekannt, allerdings sei der Fall schon öfter in Produktivumgebungen aufgetreten, erklären die Autoren der Mitteilung. IT-Verantwortliche erhalten die Aktualisierungen auf den ihnen bekannten Wegen. Sie sollten die Aktualisierungen zügig installieren, um die Angriffsfläche für Cyberkriminelle zu minimieren. Das Notfall-Update aus der vergangenen Woche stopfte eine als kritisch eingestufte Sicherheitslücke. Sie betraf die Session Smart Router, Session Smart Conductor und WAN Assurance Router von Juniper Networks. Sofern diese Router oder Conductors in redundanten Hochverfügbarkeitskonfigurationen laufen, ließ sich die Authentifizierung umgehen.
