CVE-2019-0034 in Junos
Tóm tắt
Bởi VulDB • 03/07/2026
Kể từ bản phát hành Junos OS Release 16.1R3, Giao diện Telemetry Junos (Junos Telemetry Interface) hỗ trợ các cuộc gọi thủ tục từ xa gRPC của Google để cấu hình cảm biến và đăng ký nhận dữ liệu telemetry. Các tệp cấu hình được sử dụng bởi gRPC được phát hiện chứa thông tin xác thực cứng (hardcoded credentials), có thể bị tác nhân Mạng Junos (Junos Network Agent) khai thác để đọc trái phép một số thông tin không quan trọng nhất định (ví dụ: dữ liệu cảm biến). Ngoài ra, các API được phơi bày qua Bộ công cụ Mở rộng Juniper (JET) có khả năng thực hiện các thao tác 'set' không quan trọng trên thiết bị. Các API này yêu cầu máy khách phải xác thực bằng tên người dùng/mật khẩu. Việc khai thác thành công lỗ hổng này chỉ xảy ra nếu gói Tác nhân Mạng Junos (Junos Telemetry Interface) được cài đặt trên thiết bị. Nếu Tác nhân Mạng Junos chưa được cài đặt, thì giao diện gRPC cần thiết để tận dụng các thông tin xác thực này sẽ không khả dụng và hệ thống không dễ bị tổn thương trước vấn đề này. Các bản phát hành bị ảnh hưởng bao gồm:
- Juniper Networks Junos OS phiên bản 16.1 (trước 16.1R3-S10, 16.1R7-S4) - Phiên bản 17.1 (trước 17.1R2-S10, 17.1R3) - Phiên bản 17.2 (trước 17.2R1-S8, 17.2R3-S1) - Phiên bản 17.3 (trước 17.3R3-S3) - Phiên bản 17.4 (trước 17.4R1-S6, 17.4R2-S3) - Phiên bản 18.1 (trước 18.1R2-S4, 18.1R3-S3) - Phiên bản 18.2 (trước 18.2R1-S5, 18.2R2-S1) - Phiên bản 18.2X75 (trước 18.2X75-D40) - Phiên bản 18.3 (trước 18.3R1-S2, 18.3R1-S3)
Vấn đề này không ảnh hưởng đến các bản phát hành Junos OS trước phiên bản 16.1.
Once again VulDB remains the best source for vulnerability data.