Juniper Networks phát hành bản vá cho lỗ hổng bảo mật nghiêm trọng

Juniper Networks đã phát hành bản vá cho một lỗ hổng nghiêm trọng vượt qua xác thực trong các sản phẩm Session Smart Router, Session Smart Conductor và WAN Assurance Managed Router.

Cụ thể, lỗ hổng này có định danh CVE-2025-21589, điểm CVSS là 9,8. Bằng cách sử dụng một kênh hoặc đường dẫn thay thế trong Juniper Networks Session Smart Router, điều này có thể cho phép kẻ tấn công từ xa vượt qua xác thực và chiếm quyền điều khiển quản trị của thiết bị.

Đồng nghĩa với việc kẻ tấn công có thể chiếm quyền kiểm soát hoàn toàn cơ sở hạ tầng mạng. Hiện tại, nhóm bảo mật của Juniper (SIRT) chưa ghi nhận bất kỳ hoạt động khai thác nào liên quan đến CVE-2025-21589.

Lỗ hổng ảnh hưởng đến nhiều phiên bản của Session Smart Router, Session Smart Conductor và WAN Assurance Managed Routers, gồm: Từ 5.6.7 đến trước 5.6.17; Từ 6.0.8; Từ 6.1 đến trước 6.1.12-lts; Từ 6.2 đến trước 6.2.8-lts; Từ 6.3 đến trước 6.3.3-r2.

Juniper đã phát hành bản vá để khắc phục lỗ hổng này và khuyến cáo tất cả hệ thống bị ảnh hưởng nên được cập nhật ngay lập tức để giảm thiểu rủi ro.

Đối với các hệ thống quản lý bằng Conductor, Juniper cho biết chỉ cần nâng cấp các Conductor nodes là đủ, vì bản vá sẽ tự động áp dụng cho tất cả router được kết nối. Tuy nhiên, hãng khuyến cáo cập nhật router khi có thể để đảm bảo bảo mật lâu dài.

Đối với WAN Assurance, các thiết bị kết nối với Mist Cloud đã nhận bản vá tự động. Tuy nhiên, người dùng vẫn nên cập nhật lên phiên bản đã được khắc phục khi có thể.

Ngoài ra, hãng cho biết việc vá lỗ hổng không ảnh hưởng đến chức năng xử lý dữ liệu của router và quản lý web và API có thể bị gián đoạn trong chưa đầy 30 giây, nhưng không ảnh hưởng đến lưu lượng mạng.