Kerngegevens
- Leverancier
- Juniper
- Soort software
- netwerk
- Getroffen versies
- Junos OS alle versies ouder dan de opgeloste versie van je release-train
- Junos OS Evolved alle versies ouder dan de opgeloste versie van je release-train
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Junos OS 23.2R2-S7.7, 23.4R2-S8.13, 24.2R2-S5.5, 24.4R2-S5, 25.2R2-S2, 25.4R1-S3, 26.2R1-S2
- Junos OS Evolved 23.2R2-S7.7-EVO, 23.4R2-S8.11-EVO, 24.2R2-S5.6-EVO, 24.4R2-S5-EVO, 25.2R2-S2-EVO, 25.4R1-S3-EVO, 26.2R1-S2-EVO, 25.2X100-D35-EVO, 25.4X300-D40-EVO
- CVE gepubliceerd
- 14 oktober 2026
- Gepubliceerd op LekkenRadar
- 14 oktober 2026
- Laatst gewijzigd bij NVD
- 15 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In J-Web, de webbeheerinterface van Juniper Junos OS en Junos OS Evolved, zit een fout in de controle op inloggen. Een aanvaller zonder account kan die controle omzeilen met een speciaal opgebouwd HTTP-verzoek. Daarna kan de aanvaller CGI-inhoud uitvoeren met verhoogde rechten.
Wie loopt risico?
Je loopt risico als je Juniper-apparaten met Junos OS of Junos OS Evolved beheert en J-Web via het netwerk bereikbaar is. De aanvaller hoeft niet in te loggen en heeft geen hulp van een gebruiker nodig. Alle versies ouder dan de opgeloste versie van je release-train zijn getroffen; de versies staan hieronder en in Juniper-advies JSA112187.
Wat moet je doen?
Lees het advies van Juniper
Open het beveiligingsadvies JSA112187 op het supportportaal van Juniper en kijk of jouw versie van Junos OS of Junos OS Evolved is getroffen.
Werk Junos bij
Junos OS: 23.2R2-S7.7, 23.4R2-S8.13, 24.2R2-S5.5, 24.4R2-S5, 25.2R2-S2, 25.4R1-S3 of 26.2R1-S2. Junos OS Evolved: 23.2R2-S7.7-EVO, 23.4R2-S8.11-EVO, 24.2R2-S5.6-EVO, 24.4R2-S5-EVO, 25.2R2-S2-EVO, 25.4R1-S3-EVO, 26.2R1-S2-EVO, 25.2X100-D35-EVO of 25.4X300-D40-EVO. Kies de versie van je release-train of een nieuwere. Voor 23.4X100-EVO noemt Juniper geen opgeloste versie.
Beperk de bereikbaarheid van J-Web
Zorg dat J-Web niet vanaf internet of uit onbetrouwbare netwerken bereikbaar is. Sta toegang alleen toe vanaf een beheernetwerk of vanaf vertrouwde adressen.
Controleer of J-Web nodig is
Gebruik je J-Web niet, zet het dan uit volgens de aanwijzingen van Juniper. Zo verklein je het aanvalsoppervlak.
Eén update voor meerdere lekken
Juniper bundelt in advies JSA112187 veel lekken in Junos OS en Junos OS Evolved. Met dezelfde update los je die allemaal op.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een onjuiste authenticatie (CWE-287) in J-Web van Junos OS en Junos OS Evolved. Een niet-geauthenticeerde aanvaller kan via het netwerk een speciaal samengesteld HTTP-verzoek sturen waarmee de authenticatie van J-Web wordt omzeild. Daarna kan CGI-inhoud met verhoogde rechten worden uitgevoerd. De CVSS 4.0-score is 9,3 (kritiek), met aanvalsroute via het netwerk, lage complexiteit, zonder vereiste rechten of gebruikersinteractie. De impact op vertrouwelijkheid, integriteit en beschikbaarheid van het getroffen systeem is hoog. Er is geen publiek exploit bekend en het lek staat niet op de KEV-lijst.
CVSS-vector (versie 4.0, basisscore 9,3, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-287 · Onjuiste authenticatie
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,6%
- Aanvalscode openbaar
- Nee