Junos OS, מערכת ההפעלה של נתבי Juniper, אינה מפרידה כראוי בין רכיבים שרצים בתוך הליבה שלה. תוקף שכבר הגיע ל-shell של המכשיר, עם הרשאות גבוהות, יכול להזריק לשם קוד משלו ולשנות את מה שהמכשיר מריץ. הציון הוא 6.7 מתוך 10, נמוך יחסית, והחולשה נמצאת בקטלוג החולשות המנוצלות של CISA מאז 13 במרץ 2025. הפער בין השניים הוא מה שכדאי להבין כאן.

מה החולשה?

ליבה של מערכת הפעלה מריצה בתוכה רכיבים שאמורים להיות מופרדים זה מזה, כך שרכיב אחד לא יוכל לשנות את מה שקורה אצל השני. כשההפרדה הזאת חלקית, נפתחת דרך להזריק קוד אל תוך הליבה, למקום שבו הוא רץ בלי המגבלות שחלות על תוכנה רגילה. ברשומה זה מסומן CWE-653, הפרדה לקויה בין רכיבים.

התנאי המרכזי כאן נמצא בגוף הרשומה, והוא זה שקובע למי הדף הזה בכלל רלוונטי: החולשה אינה ניתנת לניצול דרך ה-CLI של Junos. ה-CLI הוא ממשק הניהול המוגבל שרוב העבודה על הנתב נעשית דרכו, וה-shell הוא המעטפת שמתחתיו. כלומר התוקף צריך להגיע אל השכבה שמתחת לממשק הרגיל, ולפי הדירוג גם להחזיק הרשאות גבוהות ולפעול מקומית.

זה מסביר את הציון. הווקטור מסמן פגיעה גבוהה בשלמות בלבד, ואפס בסודיות ובזמינות. החולשה אינה מכניסה אף אחד לנתב, אינה קוראת ממנו מידע ואינה מפילה אותו. כל מה שהיא נותנת הוא לשנות את מה שהמכשיר מריץ, למי שכבר בפנים.

ודווקא זה מה שהופך אותה לשימושית בתקיפה אמיתית. מי שהשקיע והגיע להרשאות על נתב מרכזי רוצה להישאר שם, והדרך להישאר היא לשנות את מה שהמכשיר מריץ. הרשומה מפנה לפרסום של צוות מודיעין האיומים של Google Cloud, שמתאר ריגול המיוחס לגורם סיני נגד נתבי Juniper. ציון נמוך אינו אותו דבר כמו סיכון נמוך.

מי מושפע?

החולשה נוגעת ל-Junos OS, ורשימת הגרסאות שסוגרות אותה מסודרת לפי ענפים. בכל מה שלפני ענף 21.2 היעד הוא 21.2R3-S9. בענף 21.4 היעד הוא 21.4R3-S10, בענף 22.2 הוא 22.2R3-S6, בענף 22.4 הוא 22.4R3-S6, בענף 23.2 הוא 23.2R2-S3, בענף 23.4 הוא 23.4R2-S4, ובענף 24.2 מדובר ב-24.2R1-S2 וב-24.2R2.

זה אינו ציוד שנמצא בבית. נתבי Juniper יושבים אצל ספקיות תקשורת, בארגונים גדולים ובחוות שרתים, ולכן הקורא שצריך לפעול כאן הוא מי שמנהל תשתית רשת. לגולש הפרטי אין בדף הזה משימה.

האם מנוצלת בפועל?

כן. ב-13 במרץ 2025 נוספה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימה של חולשות שנצפו בשימוש בתקיפות ולא רק תוארו במחקר, והמועד שנקבע לגופים הפדרליים האמריקאיים לסיום הטיפול היה 3 באפריל 2025.

כאן שווה לקרוא את הניצול לאור התנאים שלו. אם ניצול דורש הרשאות גבוהות ו-shell, אז כל מקרה ניצול מתועד אומר שמישהו כבר הגיע לשם. השאלה המעשית למפעיל אינה רק אם שדרגתם, אלא גם איך נראית הגישה לנתבים אצלכם.

מה עושים?

1. בררו באיזה ענף אתם ושדרגו ליעד שלו מהרשימה למעלה. הפרטים המלאים וההנחיות נמצאים בהודעת האבטחה של Juniper.

2. עברו על מי שמחזיק גישת shell למכשירים. מכיוון שהחולשה דורשת הרשאות גבוהות כתנאי פתיחה, צמצום המעגל הזה והחלפת פרטי האימות על הנתבים הם חלק מהטיפול ולא תוספת לו.

3. אל תתייחסו לשדרוג כאל ניקוי. השדרוג סוגר את הדרך להזריק קוד מכאן והלאה, והוא אינו מבטל שינוי שכבר בוצע במכשיר. אם יש חשד שנגעו בנתב, בדקו את שלמות המערכת מולו לפי הנחיית היצרן לפני שמחזירים אותו לשגרה.

4. תעדפו לפי חשיפה ולא לפי גרסה בלבד. נתב שמנוהל מרשת נפרדת ומצומצמת נמצא במצב אחר מנתב שאפשר להגיע אליו מכל מקום ברשת הארגונית, וזה משנה את סדר השדרוגים כשיש הרבה מכשירים ולא כולם ישודרגו באותו ערב.