Juniper Junos OSにCVSS 9.8の緊急脆弱性 すぐに対策を

CISAはJuniper Junos OSの5つの脆弱性を新たに脆弱性カタログに追加した。これらはリモートからのコード実行が可能で、CVSSスコア値9.8で「緊急」に分析される。

[後藤大地，有限会社オングス]

　米国サイバーセキュリティ・社会基盤安全保障庁（以下、CISA）は2023年11月13日（現地時間、以下同）、「Juniper Junos OS」（以下、Junos OS）に関する5つの脆弱（ぜいじゃく）性を脆弱性カタログに追加した。

脆弱性カタログにJunos OSに関する5つの脆弱性が追加された（出典：Juniper NetworksのWebサイト）

Juniper Networks、Junos OSにリモートコード実行可能なセキュリティ脆弱性

　Juniper Networksは2023年8月17日にこれらの情報を公開しており、11月8日までにアップデートを提供している。

　評価された脆弱性はCVSSスコアで9.8の「緊急」とされ、リモートから未認証でコードの実行が可能だ。影響を受けるJunos OSのバージョンは複数あり、アップデートが保留されているバージョンもある。

　取り上げられた脆弱性は以下の通りだ。

• CVE-2023-36844：　Junos OS J-WebにあるPHP外部変数変更のセキュリティ脆弱性によって認証されていないネットワークベースの攻撃者が特定の重要な環境変数を制御できる
• CVE-2023-36845：　Junos OS J-WebにあるPHP外部変数変更のセキュリティ脆弱性によって認証されていないネットワークベースの攻撃者が特定の重要な環境変数を制御することができる
• CVE-2023-36846：　Junos OSのクリティカル機能に認証がない脆弱性によって認証されていないネットワークベースの攻撃者がファイルシステムの整合性に限定的な影響を与える可能性がある
• CVE-2023-36847：　Junos OSのクリティカル機能に認証がない脆弱性によって認証されていないネットワークベースの攻撃者がファイルシステムの整合性に限定的な影響を与える可能性がある
• CVE-2023-36851：　Junos OSのクリティカル機能に認証がない脆弱性によって認証されていないネットワークベースの攻撃者がファイルシステムの整合性に限定的な影響を与える可能性がある

　影響を受けるとされるSRXシリーズおよびEXシリーズのJuniper Networks Junos OSは以下の通りだ。

• 20.4R3-S9より前の全バージョン
• 21.1バージョン21.1R1およびこれ以降のバージョン
• 21.2R3-S7より前の21.2系バージョン
• 21.3R3-S5より前の21.3系バージョン
• 21.4R3-S5より前の21.4系バージョン
• 22.1R3-S4より前の22.1系バージョン
• 22.2R3-S2より前の22.2系バージョン
• 22.3R2-S2および22.3R3-S1より前の22.3系バージョン
• 22.4R2-S1および22.4R3より前の22.4系バージョン
• 23.2R1-S1および23.2R2より前の23.2系バージョン

　既に修正版が公開されたバージョンもあれば、公開が保留されているものもある。該当する製品を使用している場合はJuniper Networksの公開した情報を確認し、推奨されている内容に従って対応することが望まれる。

　一時的な回避策としては、J-Webを無効化するか信頼できるホストからのみアクセスできるようにアクセス制限を行うことなどが説明されている。