背景图片来源／Octavian Rosca on unsplash
Juniper上周发布例外安全公告，修补网路设备作业系统Juno OS可能导致任意程式码执行、及资料被窃的漏洞。
Juniper这波修补的2个漏洞，分别是CVE-2024-21619及CVE-2024-21620，皆影响防火墙SRX Series及网路交换器Ex Series的作业系统Junos OS中的J-Web介面。其中CVE-2024-21620较为严重，为跨站指令码攻击，CVSS风险值为8.8。攻击者可设置恶意URL，让另一名用户存取时加以滥用，造成利用该用户（包括管理员）权限执行任指令。
CVE-2024-21619则是中度风险漏洞，CVSS值5.3。它是J-Web介面上，欠缺对重要功能的指令验证漏洞。当合法用户登入时，会产生一个含装置配置的暂存档于/cache资料匣中。未经验证的网路攻击者可传送呼叫猜测档名，成功存取档案即可能存取到配置资讯。
二项漏洞是由资安业者watchTowr Labs安全及通报。
除了上述漏洞，Juniper这波安全更新还修补了CVE-2023-36846及CVE-2023-36851，分别让攻击者经由J-Web传统特殊呼叫指令到user.php及webauth_operation.php，得以存取档案系统，后者还可能被串连其他漏洞发动攻击。
所有Junos OS皆受4项漏洞影响，Juniper已发布更新修补，呼吁管理员尽速更新软体。若无法及时安装更新，Juniper建议先关闭J-Web或将存取权限缩至信任的主机。
上周Juniper才针对J-Web介面风险值9.8的漏洞CVE-2024-21591发出安全公告，也影响SRX防火墙及EX交换器。Juniper虽然去年就发布修补程式，但资安厂商Censys到本月初还发现有1.1万台Juniper设备仍未安装更新，使Juniper再度呼吁企业留意。