Juniper Networks сообщила о нескольких уязвимостях в Session Smart Router (SSR) и Conductor, программном маршрутизаторе и средстве централизованного управления им. Характер проблем производитель не раскрывает до 28 октября 2026 года. Уровень опасности в бюллетене JSA112528 обозначен как критический, числовой рейтинг CVSS там отсутствует. Риск касается операторов связи и организаций, которые держат SSR на периметре сети или в филиалах. Французский бюллетень от 19 октября описывает последствия сдержанно: атакующий вызывает проблему безопасности, не уточнённую производителем.
Версии SSR и Conductor, исправления и дата раскрытия деталей
Уязвимы сборки веток 7.1.x до 7.1.7 и 7.2.x до 7.2.3, а также версии ниже 7.0.5. Исправления вышли 16 октября 2026 года. Выпуски 7.0.5, 7.1.7 и 7.2.3 доступны для сред под управлением Conductor и Juniper Mist, а для изолированных установок их выкладывают в репозиторий SSR. Об эксплуатации в реальных атаках производитель не пишет. Дату раскрытия он выбрал с расчётом на простую закономерность: сетевые платформы становятся целью атак вскоре после появления публичных сведений об уязвимостях.
Формально бюллетень касается всех версий SSR и Conductor, хотя исправления перечислены только для трёх веток. Число уязвимостей, их типы и идентификаторы CVE не названы. Отсутствие CVE означает, что сканеры и системы управления уязвимостями проблему не увидят. Поэтому версии придётся сверять вручную, а сам факт незакрытой дыры подтвердить нечем. Обходных мер производитель не предложил.
SSR работает как маршрутизатор на обычных серверах, поэтому его ставят на границе сети, в филиалах и у поставщиков услуг. Такое расположение делает устройство заметным для сканирования из интернета. Пока исправление не установлено, оно остаётся открытым для класса атак, о котором защитникам ничего не известно.
Централизация расширяет последствия успешной атаки. Conductor хранит и раздаёт конфигурацию всем подключённым маршрутизаторам. Захват этого узла затрагивает весь парк устройств, а не одну площадку. У оператора с тысячами абонентских подключений один такой узел связан с маршрутизацией трафика всей сети.
Обновление требует планирования. Для узлов на 6.x и более старых версиях производитель просит учитывать отдельные ограничения. В AWS и Azure часть сценариев обновления недоступна из-за запрета на изменение дисков; для таких сред существуют альтернативные процедуры. Изолированные от интернета среды загружают выпуски из репозитория SSR вручную. К тому же обновлять нужно и Conductor, и подчинённые маршрутизаторы.
Начать нужно с проверки текущих версий Conductor и маршрутизаторов. Затем подобрать выпуск своей ветки, назначить окно обслуживания и завершить обновление до 28 октября. Отложенная установка оставляет устройства открытыми, поскольку обходных мер нет. При сложных схемах миграции производитель предлагает обращаться в поддержку HPE.
Отложенное раскрытие даёт администраторам около двух недель на обновление. Публичные описания уязвимостей появятся 28 октября, после чего подбор атаки на незакрытые SSR и Conductor упрощается. Установка выпусков 7.0.5, 7.1.7 и 7.2.3 до этой даты сокращает окно риска. Практика отложенного раскрытия оставляет защитникам мало времени между установкой исправления и появлением публичных сведений.
Ссылки
