聚焦源代码安全，网罗国内外最新资讯！
编译：代码卫士
Juniper Networks 公司发布紧急更新，修复了Session Smart Router (SSR)、Session Smart Conductor 和 WAN Assurance Router 产品中的一个严重漏洞 (CVE-2024-2973)，可导致认证绕过后果。
攻击者可利用该漏洞完全控制设备。漏洞描述提到，“Juniper Networks 通过冗余对等体运行的Session Smart Router 或 Conductor中存在通过 Alternate Path 或 Channel 实现认证绕过的漏洞，可导致基于网络的攻击者绕过认证并完全控制设备。”
安全公告提到，“只有运行在高可用性冗余配置的Routers 或 Conductors 才受该漏洞影响。” Web 管理员应用对服务可继续性至关重要的“高可用性冗余配置”。该配置对于维护不受破坏的服务和提升对不可见、具有破坏性的事件的弹性。这使得易受攻击的配置在重要的网络基础设施中非常常见，包括在大型企业环境、数据中心、电信、电子商务和政府或公共服务等。
受影响的版本如下：
Session Smart Router 和 Conductor：
所有早于5.6.15的版本
自早于6.1.9-lts的6.0版本起
自早于6.2.5-sts的6.2版本起
WAN Assurance Router：
早于 6.1.9-lts 的6.0版本
早于6.3.5-sts 的6.2版本
Session Smart Router 的安全更新已在 5.6.15、6.1.9-lts 和 6.2.5-sts 中发布。WAN Assurance Routers 在连接到 Mist Cloud 时就会自动打补丁，但高可用性集群的管理员需要更新至SSR-6.1.9或SSR-6.2.5。
Juniper 公司还提到，升级 Conductor 节点足以将修复方案自动应用到联网路由器，但路由器应当被升级至最新可用版本。该厂商向客户保证称该修复方案的应用并不会破坏生产流量，对于基于web的管理和API的影响很小，出现大约30秒的停机。
目前尚不存在应变措施，建议措施只是应用可用修复方案。
针对Juniper 的攻击活动
鉴于 Juniper 产品部署的重要且具有价值的环境，Juniper 产品是备受黑客欢迎的目标。
去年，Juniper EX 交换机和 SRX 防火墙被纳入由四个漏洞组成的利用链中。就在厂商发布相关公告的一周内，就出现了恶意活动。几个月后，CISA提醒注意这些漏洞遭规模更大的利用，督促联邦机构和重要组织机构在四天内应用这些安全更新，该短促的CISA最后期限是不太常见的。
代码卫士试用地址：https://codesafe.qianxin.com
开源卫士试用地址：https://oss.qianxin.com
推荐阅读
Juniper Networks 修复交换机、防火墙中的多个漏洞
CISA 提醒注意已遭活跃利用的 Juniper 预认证 RCE 利用链
Juniper Networks 修复Junos OS中的30多个漏洞
原文链接
题图：Pexels License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 "赞” 吧~
