Juniper dicht reeks kwetsbaarheden in Session Smart Router en Conductor

Juniper Networks heeft op 28 oktober 2026 updates uitgebracht voor Session Smart Router (SSR) en Session Smart Conductor (SSC). De patches verhelpen een pakket intern ontdekte kwetsbaarheden dat in het ergste geval kan leiden tot remote code execution, privilege-escalatie, informatielekken en denial of service. Aangeraden wordt te updaten naar 7.0.5, 7.1.7 of 7.2.3 (afhankelijk van de gebruikte release‑lijn). Versies daarvóór zijn kwetsbaar. (cert.cyber.gouv.fr)

Belangrijkste kwetsbaarheden, kort uitgelegd

• Kritiek in Conductor: via de AutomatedProvisioner kan een aanvaller met een speciaal geconstrueerde “salt minion ID” op afstand commando’s als root uitvoeren (CVSS 9.8; CVE‑2026‑103406). (app.opencve.io)
• Kritiek in Router: een interne endpoint zonder afdoende authenticatie maakt het mogelijk om met slimme URL‑parameters admin‑rechten te krijgen. Dit speelt vooral vóórdat een apparaat is “onboarded” naar Mist/Conductor (CVE‑2026‑103409). (app.opencve.io)
• Hoog in Router: een stack‑buffer‑overflow in de DHCP‑client kan via een kwaadaardig DHCP‑antwoord tot code‑uitvoering leiden op het lokale segment (CVSS 8.8; CVE‑2026‑103408). Juniper SIRT meldt geen bekende misbruikgevallen ten tijde van publicatie. (app.opencve.io)

Ook aangepakt zijn fouten die kunnen zorgen voor crashes, geheugenbeschadiging, sessie‑desynchronisatie of informatielekken. Het gaat onder meer om out‑of‑bounds reads/writes in de HTTP‑parser, TCP‑proxy en TCP‑headerverwerking, en bij VRRPv3‑pakketten. Daarnaast is een probleem met onjuiste initialisatie in de security policy verholpen dat verkeerde encryptiesleutels kon gebruiken (met kans op decryptie van verkeer of Denial of Service). Verder zijn issues dichtgezet rond:

• onbedoeld unmounten van bestanden tijdens service‑cleanup door speciaal benoemde directories (lokaal misbruik);
• ongeauthenticeerde API‑endpoints waardoor lokale, niet‑geprivilegieerde gebruikers willekeurige bestanden konden overschrijven;
• onvoldoende integriteitscontrole in de model‑cache die tot willekeurige code‑uitvoering en privilege‑escalatie kon leiden;
• OS‑command‑injection in de AccessManager bij het verwijderen van auditregels (en mogelijk ongewenst verwijderen van bestanden);
• te ruime bestandsrechten in de RoutingManager (SSC) die gevoelige routingdata blootstelden;
• HTTP‑response‑splitting door ongefilterde invoer in request‑bodyparameters;
• in ConfigDirector: onvoldoende gesaniteerde invoer in certificaat‑ en private‑key‑API’s waardoor geauthenticeerde REST‑gebruikers bestanden konden lezen, overschrijven of verwijderen;
• een integer‑overflow in de DPI‑certificatescanner die DoS kan veroorzaken bij TLS‑inspectie;
• een integer‑underflow in de DhcpMessageDecoder die informatielekken en crashes kan triggeren;
• en in AccessManager: bij config‑write‑rechten OS‑command‑injection en privilege‑escalatie via onvoldoende gevalideerde YANG‑configuraties.

Welke versies moet je hebben

• Niet‑kwetsbaar: SSR/SSC 7.0.5 en hoger binnen die lijn; 7.1.7 en hoger; 7.2.3 en hoger.
• Kwetsbaar: eerdere releases binnen deze drie lijnen. (cert.cyber.gouv.fr)

Praktisch advies voor beheerders

• Patchen, liefst gefaseerd maar snel: begin met systemen die publieke managementtoegang hebben, Conductor‑servers en routers die DHCP‑client gebruiken op onbetrouwbare netwerken. Voor de genoemde kritieke bugs zijn geen praktische workarounds gepubliceerd. (app.opencve.io)
• Beperk beheer‑toegang: zet management‑interfaces achter VPN of toegangscontrolelijsten; laat alleen vertrouwde IP’s toe tot Conductor en API‑endpoints. Overweeg tijdelijk strengere firewallregels rond Salt/AutomatedProvisioner. (tenable.com)
• Controleer sporen: kijk naar onverwachte “salt minion”‑registraties, onverklaarde service‑restarts, wijzigingen in certificaten/keys en bestanden die door de genoemde modules worden beheerd.
• Herzie sleutel‑ en certificaatbeheer: roteer gevoelige sleutels als je vermoedt dat kwetsbaarheden in policy of key‑handling impact konden hebben.
• Monitor je versiebeheer: borg dat nodes niet blijven hangen op 7.0.x/7.1.x/7.2.x onder de gepatchte niveaus. (cert.cyber.gouv.fr)

Korte achtergrond
Dit is niet de eerste keer dat SSR/SSC in het nieuws komt. In juni 2024 werd een kritieke kwetsbaarheid (CVE‑2024‑2973) gepubliceerd die onder bepaalde omstandigheden authenticatie kon omzeilen. Begin 2025 volgde een out‑of‑cycle bulletin over een API‑authenticatie‑bypass (CVE‑2025‑21589). Wie toen al vers en tijdig patchte, herkent het patroon: deze platformen vragen hetzelfde patch‑ritme als elke andere bedrijfskritische software. (cow-prod-www-v3.azurewebsites.net)

Wat betekent dit voor jou?

• Inventariseer welke SSR/SSC‑releases draaien.
• Plan een onderhoudsvenster voor upgrade naar 7.0.5/7.1.7/7.2.3 (of hoger).
• Leg managementtoegang tijdelijk strakker vast en houd Salt/AutomatedProvisioner in de gaten.
• Volg meldingen van partijen als NCSC‑NL en Juniper SIRT voor updates en eventuele IoC’s. (advisories.ncsc.nl)

Bronnen met details over de fixes, versies en CVE’s:

• Juniper’s security bulletin JSA112183 (via CERT‑FR) en het overzicht van getroffen en gepatchte releases. (cert.cyber.gouv.fr)
• CVE‑records voor de kritieke issues in Conductor (CVE‑2026‑103406), het interne endpoint in SSR (CVE‑2026‑103409) en de DHCP‑overflow (CVE‑2026‑103408). (app.opencve.io)

Zo blijft je netwerk niet alleen up‑to‑date, maar vooral ook weerbaar tegen misbruik van deze nu publiek bekende kwetsbaarheden.

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.