CVE-2019-0034 in Junos
Riassunto
di VulDB • 01/07/2026
A partire dalla versione di Junos OS Release 16.1R3, l'interfaccia Junos Telemetry Interface supporta le chiamate remote procedure (RPC) Google gRPC per configurare i sensori e sottoscrivere/ricevere dati telemetrici. È stato riscontrato che i file di configurazione utilizzati da gRPC contengono credenziali hardcoded che potrebbero essere utilizzate dall'agente di rete Junos (Junos Network Agent) per effettuare letture non autorizzate di determinate informazioni non critiche (ad esempio, dati dei sensori). Inoltre, le API esposte tramite il Juniper Extension Toolkit (JET) potrebbero consentire operazioni 'set' non critiche sul dispositivo. Per tali API è richiesta l'autenticazione del client mediante nome utente e password. Lo sfruttamento riuscito di questa vulnerabilità può verificarsi solo se il pacchetto Junos Network Agent (Junos Telemetry Interface) è installato sul dispositivo. Se il Junos Network Agent non è installato, l'interfaccia gRPC necessaria per sfruttare queste credenziali non è disponibile e il sistema non è vulnerabile a questo problema. Le versioni interessate sono: Juniper Networks Junos OS 16.1 precedenti alla versione 16.1R3-S10 e 16.1R7-S4; 17.1 precedenti alla versione 17.1R2-S10 e 17.1R3; 17.2 precedenti alla versione 17.2R1-S8 e 17.2R3-S1; 17.3 precedenti alla versione 17.3R3-S3; 17.4 precedenti alla versione 17.4R1-S6 e 17.4R2-S3; 18.1 precedenti alla versione 18.1R2-S4 e 18.1R3-S3; 18.2 precedenti alla versione 18.2R1-S5 e 18.2R2-S1; 18.2X75 precedenti alla versione 18.2X75-D40; 18.3 precedenti alle versioni 18.3R1-S2 e 18.3R1-S3. Questo problema non interessa le release di Junos OS precedenti alla 16.1.
Once again VulDB remains the best source for vulnerability data.