Kerngegevens
- Leverancier
- Juniper
- Product
- Junos OS
- Soort software
- netwerk
- Getroffen versies
- Junos OS 25.2, 25.4 en 26.2 vóór de opgeloste versie
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Junos OS 25.2R2-S2, 25.4R1-S3, 26.2R1-S2
- CVE gepubliceerd
- 14 oktober 2026
- Gepubliceerd op LekkenRadar
- 14 oktober 2026
- Laatst gewijzigd bij NVD
- 15 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In J-Web, het webbeheer van Juniper Junos OS, zit een fout in de controle op wie er mag inloggen. Een aanvaller hoeft daardoor niet in te loggen om via de webinterface Junos-commando's uit te voeren. Die commando's draaien met rootrechten, de hoogste rechten op het apparaat.
Wie loopt risico?
Je loopt risico als je Juniper-apparaten met Junos OS 25.2, 25.4 of 26.2 gebruikt zonder de update, en de J-Web-beheerinterface via het netwerk bereikbaar is. Is die interface ook vanaf internet of vanuit een groot, onbeveiligd netwerk te bereiken, dan is het risico groter. Er is geen actief misbruik gemeld.
Wat moet je doen?
Bekijk het advies van Juniper
Lees het beveiligingsbericht JSA112188 van Juniper om te zien welke versies van Junos OS zijn getroffen en welke oplossing beschikbaar is.
Controleer of J-Web aan staat
Kijk na of J-Web is ingeschakeld op je Junos-apparaten en via welke netwerken het bereikbaar is.
Beperk de toegang tot J-Web
Zet J-Web uit als je het niet gebruikt. Laat het anders alleen bereikbaar zijn vanaf een afgeschermd beheernetwerk en niet vanaf internet.
Werk Junos bij
Installeer een opgeloste versie van Junos OS: 25.2R2-S2, 25.4R1-S3 of 26.2R1-S2. Kies de versie van je release-train of een nieuwere.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek betreft onjuiste authenticatie (CWE-287) in de J-Web-component van Junos OS. Een niet-geauthenticeerde aanvaller kan via het bereikbare J-Web-webinterface op afstand willekeurige Junos-commando's uitvoeren met rootrechten. De aanval verloopt via het netwerk, is niet complex en vereist geen gebruikersinteractie. De CNA geeft een CVSS 4.0-score van 9,3, met grote gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid van het apparaat. Getroffen zijn Junos OS 25.2 vóór 25.2R2-S2, 25.4 vóór 25.4R1-S3 en 26.2 vóór 26.2R1-S2 (JSA112188).
CVSS-vector (versie 4.0, basisscore 9,3, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-287 · Onjuiste authenticatie
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,7%
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies