Kerngegevens
- Leverancier
- Juniper
- Product
- Junos OS
- Soort software
- netwerk
- Getroffen versies
- Junos OS alle versies ouder dan de opgeloste versie van je release-train
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Junos OS 23.2R2-S7.7, 23.4R2-S8.13, 24.2R2-S5.5, 24.4R2-S5, 25.2R2-S2, 25.4R1-S3, 26.2R1-S2
- CVE gepubliceerd
- 14 oktober 2026
- Gepubliceerd op LekkenRadar
- 14 oktober 2026
- Laatst gewijzigd bij NVD
- 14 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Junos OS, het besturingssysteem van Juniper Networks, zit een fout in de TWAMP-client (Two-Way Active Measurement Protocol). Een aanvaller kan met één speciaal samengesteld TCP-pakket de rmopd-service laten uitvallen. Inloggen is daarvoor niet nodig. Het lek heeft ernst kritiek (9,2) en raakt vooral de beschikbaarheid van de dienst.
Wie loopt risico?
Je loopt risico als je Junos OS gebruikt in een versie ouder dan de opgeloste versie van je release-train en de TWAMP-client bij jou in gebruik is. De aanvaller hoeft niet ingelogd te zijn en kan het lek via het netwerk misbruiken. Er is geen informatie over actief misbruik of een openbaar beschikbare exploit.
Wat moet je doen?
Lees het advies van Juniper
Open het beveiligingsbericht JSA112188 op het supportportaal van Juniper en kijk welke Junos OS-versies getroffen zijn en welke versie het lek oplost.
Controleer je eigen apparaten
Ga na welke apparaten bij jou Junos OS draaien en of de TWAMP-client daarop wordt gebruikt.
Werk Junos bij
Installeer een opgeloste versie van Junos OS: 23.2R2-S7.7, 23.4R2-S8.13, 24.2R2-S5.5, 24.4R2-S5, 25.2R2-S2, 25.4R1-S3 of 26.2R1-S2. Kies de versie van je release-train of een nieuwere.
Beperk de blootstelling
Zorg dat alleen vertrouwde netwerken TCP-verkeer naar de betreffende apparaten kunnen sturen, bijvoorbeeld met firewallregels of toegangslijsten, zolang je nog niet hebt bijgewerkt.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een bereikbare assertion (CWE-617) in de TWAMP-client van Junos OS. Een assertion is een controle in de code die het programma bewust laat stoppen als een aanname niet klopt. Een aanvaller kan via het netwerk een specifiek TCP-pakket sturen dat deze controle laat falen. Daardoor stopt de rmopd-service en ontstaat een denial of service. Er is geen authenticatie of gebruikersinteractie nodig. De CVSS 4.0-vector (AV:N/AC:L/PR:N/UI:N) laat een hoge impact op de beschikbaarheid zien (VA:H en SA:H) en geen impact op vertrouwelijkheid of integriteit.
CVSS-vector (versie 4.0, basisscore 9,2, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-617 · Bereikbare assertion
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,5%
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies