Публичный эксплойт для CVE-2024-24789 и исправления в продуктах Juniper

В открытом доступе появился публичный эксплойт (PoC, рабочий код, демонстрирующий использование уязвимости) для CVE-2024-24789. Проблема связана с разбором ZIP-архивов: разные реализации читают повреждённый файл по-разному. Один распаковщик видит одно содержимое, другой - совсем другое. Опубликованный код не выполняет произвольные команды и не вызывает сбой. По CVSS 3.1 уязвимость оценивают в 5.5, для её использования нужен локальный доступ с низкими правами. В бюллетене Juniper проблема числится закрытой в Cloud-Native Router 26.2, куда попала вместе со сторонними библиотеками.

Октябрьские бюллетени Juniper для Junos OS и SRX

Октябрьский набор бюллетеней охватывает почти всю линейку вендора: маршрутизаторы MX, PTX и ACX, коммутаторы EX и QFX, межсетевые экраны SRX, облачный маршрутизатор Cloud-Native Router. В Junos OS и Junos OS Evolved закрыты несколько десятков уязвимостей. Часть из них открывает путь к полному контролю над устройством, часть приводит к отказам в обслуживании. Случаев эксплуатации в реальных атаках Juniper не фиксирует.

Сторонние библиотеки в Cloud-Native Router

Облачный маршрутизатор собирают из множества открытых компонентов, и вместе с ними в продукт попадают чужие ошибки. Кроме CVE-2024-24789, в версии 26.2 закрыто переполнение буфера в библиотеке GLib (CVE-2024-52533, рейтинг 9.8). Оно возникает из-за нехватки одного байта при обработке ответа прокси-сервера SOCKS4, что даёт запись за границей буфера и потенциальное выполнение кода. Рядом стоят ошибка разбора сертификатов в libcurl с рейтингом 6.5 и исчерпание памяти в реестре контейнерных образов distribution, тоже 6.5. Обходных путей вендор не предложил: помогает только переход на 26.2.

Junos OS и Junos OS Evolved

Самый заметный блок связан с J-Web, веб-интерфейсом управления. Уязвимость CVE-2026-101954 позволяет неаутентифицированному пользователю сети полностью захватить устройство, если J-Web включён. Рейтинг - 9.8. Рядом в том же релизе закрыты выполнение команд от имени root и запуск CGI-скриптов до прохождения аутентификации. Похожие дыры в J-Web всплывают из релиза в релиз, поэтому веб-интерфейс разумно закрывать от внешних сетей и без надобности не включать.

Вторая линия - протоколы маршрутизации. Искажённое обновление BGP (протокол обмена маршрутной информацией между автономными системами) с атрибутом flowspec при включённой многопоточной обработке приводит к компрометации маршрутного движка (CVE-2026-102178, 9.8). Выполнение root-команд возможно и при включённом мониторинге маршрутов BMP. Ещё одна проблема даёт выполнение кода или отказ при одновременной работе SNMP и сервера аутентификации AAA.

Третий слой - отказы в обслуживании. Здесь список длинный и однообразный: искажённые служебные пакеты роняют маршрутный демон; достаточно обновления по LDP, сообщения RSVP, пакета OSPF или PIM. Управление маршрутизацией теряется до пересчёта маршрутов. Отдельно стоит SNMP: часть проблем проявляется только при включённых счётчиках межсетевого экрана.

Маршрутизаторы MX, PTX и QFX

На MX особняком стоят две уязвимости. CVE-2026-102182 описывает выполнение кода с правами root при получении специально собранных пакетов IKE (протокол согласования ключей для IPsec) на основе сертификатов. Рейтинг - 9.8, учётные данные для атаки не нужны. Вторая, CVE-2026-102079, требует локального доступа: команда request csds в интерфейсе командной строки не проверяет ввод, из-за чего пользователь с низкими правами получает полный контроль над устройством. Вендор предлагает запретить эту команду средствами авторизации CLI и ограничить доступ к консоли доверенными узлами.

На MX с модулями SPC3 есть и другая история. Искажённый IPv6-пакет при настроенном NAT не отбрасывается, а создаёт сессию и занимает ресурсы трансляции (CVE-2026-102077, 7.5). Поток таких пакетов исчерпывает пул адресов, трафик через устройство останавливается, и восстановить работу можно только перезагрузкой. Та же линейка страдает от утечки памяти при высокой частоте соединений, если включены прикладные сервисы. Это затрагивает и SRX 4000 с SRX 5000 на SPC3.

У PTX слабое место - первичная настройка. Подконтрольные злоумышленнику ответы DHCP или gRPC при zero-touch provisioning ведут к компрометации на уровне root, рейтинг 8.8. У QFX сосед по BGP роняет маршрутный процесс при включённой глобальной балансировке. Ещё один сценарий на MX: искажённый сигнал синхронизации SyncE или PTP от вышестоящего узла вызывает серию переключений основного и резервного модулей и падение службы тактовой синхронизации. Оценка средняя - 5.3.

Межсетевые экраны SRX

Самый неприятный сценарий связан с ADVPN, схемой автоматического построения туннелей между площадками. Искажённые атрибуты в сообщении от партнёра вызывают переполнение буфера и удалённое выполнение кода (CVE-2026-102084, 8.1). Атака требует общего секрета или уже скомпрометированного узла, поэтому вероятность её ниже, чем у остальных проблем списка. Уровень угрозы вендор оценил как высокий.

Дальше идут выполнение кода при настроенном GRE-туннеле и проблемы модуля Security Intelligence, который подтягивает репутацию адресов с внешнего сервера. Скомпрометированный сервер лент или соединение без TLS-профиля открывают путь к выполнению кода.

Отдельная группа - отказы. Поток DNS-запросов поверх TCP при включённой веб-фильтрации повышает шанс падения процесса обработки потоков. Искажённое сообщение TLS при возобновлении сессии роняет модуль пересылки пакетов (CVE-2026-102082, 5.9). Когда облачный сервер веб-фильтрации недоступен, запросы на проверку категорий накапливаются, и при высокой нагрузке подсистема защиты перезапускается. Запросы DNS, попавшие одновременно в ленты Security Intelligence и на анализ алгоритма генерации доменов, ломают обработку при включённом логировании. Все эти проблемы оценивают как средние.

Что обновить и как снизить риск

Исправления собраны в релизах Junos OS: 23.2R2-S7.7, 23.4R2-S8.13, 24.2R2-S5.5, 24.4R2-S5, 25.2R2-S2, 25.4R1-S3, 26.2R1-S2 и последующих. Для Junos OS Evolved номера совпадают, но идут с суффиксом -EVO, плюс выпущены отдельные сборки для веток X100 и X300. Cloud-Native Router закрыт в 26.2. Ветки, снятые с поддержки, вендор не проверял.

Обходные меры есть не для всех проблем. На MX помогает запрет служебных команд request через авторизацию CLI. На SRX отключается возобновление TLS-сессий параметром disable-session-resumption в профиле SSL-прокси, а также логирование срабатываний SecIntel и DGA, если оно не нужно. На Junos OS Evolved единственный способ снизить риск - фильтры плоскости управления: они должны разрешать только нужные порты и только доверенным узлам.

Основная масса октябрьских проблем - не экзотика, а состояние гонки и слабая проверка входных данных в служебных демонах. Веб-интерфейс J-Web остаётся самым коротким путём к полному захвату устройства, а накопление чужих ошибок в сторонних библиотеках превращает обновление облачного маршрутизатора в отдельную задачу для администраторов.