Juniper heeft vijftien kwetsbaarheden verholpen in Junos OS en Junos OS Evolved, het besturingssysteem van de routers, switches en firewalls van het bedrijf. Het NCSC meldt de patches in advisory NCSC-2026-0430 van 16 oktober 2026, verspreid over drie aparte beveiligingsbulletins van Juniper: een voor de SRX-serie, een algemeen bulletin en een specifiek voor de MX-serie.
De kwetsbaarheden raken een opvallend breed scala aan onderdelen: de VXLAN Gateway Daemon (vgd), de kmd-daemon op MX-routers, de SDK-service met JDAF-routing, de TWAMP-client (rmopd), de gRPC-bibliotheek, de ipfd-daemon op de SRX-serie, de dot1x-daemon op Fusion Aggregation Devices, de routing protocol daemon (rpd) op MX-routers, het jdhcpd-proces, het authd-proces, de kernel bij Extended Echo, de pkid-component, de UTM Anti-Spam SBL-component op de SRX-serie, de J-Web-beheerinterface en het srxpfe-onderdeel op SRX-apparaten in een chassis-clusterconfiguratie. De fouten zijn vooral buffer overflows, een externe format string-fout, integer underflows en null pointer dereferences.
Een aanvaller kan deze fouten doorgaans misbruiken door speciaal geprepareerde pakketten of berichten te sturen, vaak zonder dat daar authenticatie voor nodig is. Dat kan leiden tot het crashen van een los proces of van het hele systeem, denial-of-service dus, maar in sommige gevallen ook tot het uitvoeren van willekeurige code met root-rechten. Een deel van de fouten is alleen bij specifieke configuraties relevant, zoals het gebruik van Security Intelligence feeds, dot1x-synchronisatie, HFRR-linkbescherming, RADIUS-authenticatie of een chassis-clusteropstelling. Sommige kwetsbaarheden zijn zelfs te misbruiken door een gecompromitteerde externe partij waarmee het apparaat al verbinding heeft, zoals een SDN-controller of een RADIUS-server. Het NCSC noemt geen aanwijzingen voor actief misbruik van een van de vijftien fouten; Juniper geeft per kwetsbaarheid de exacte getroffen en gerepareerde releases in de drie onderliggende bulletins.
Voor netwerkbeheerders die Juniper-apparatuur draaien, is de eerste stap vooral uitzoeken welke van deze vijftien fouten de eigen opstelling raakt, want vrijwel niemand gebruikt alle genoemde features tegelijk. Draait u SRX-firewalls in een chassis-cluster of met UTM Anti-Spam, of MX-routers met een actieve rpd- of kmd-component, raadpleeg dan met voorrang het bijbehorende Juniper-bulletin voor de exacte releases. Beperk daarnaast waar mogelijk wie bij de J-Web-interface kan en welke externe systemen, zoals een RADIUS-server of SDN-controller, vertrouwd worden, aangezien een deel van deze fouten juist via die band wordt bereikt. Omdat Juniper geen actief misbruik meldt, is er ruimte om de update netjes in een regulier onderhoudsvenster te plannen, mits dat niet te lang op zich laat wachten.
Bron: NCSC-NL Advisories
Wat betekent dit voor jouw bedrijf?
Draait u Juniper-apparatuur? Zoek eerst uit welke van de vijftien fouten uw eigen opstelling raakt: SRX-firewalls in een chassis-cluster of met UTM Anti-Spam en MX-routers met actieve rpd- of kmd-componenten verdienen voorrang bij het bijbehorende Juniper-bulletin.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.