Juniper Junos OS: NULL-Pointer-Dereferenzierung im Routing-Policy-ECMP-Matcher

Zusammenfassung

Eine NULL-Pointer-Dereferenzierung im Nexthop-ECMP-Matcher von Junos OS und Junos OS Evolved kann den Routing-Daemon (rpd) zum Absturz bringen. Ein konfigurierter eBGP-Peer kann dies mit einem bestimmten BGP-Paket auslösen, allerdings nur, wenn ein nexthop-ecmp-Qualifier an einer BGP-Import-Policy angehängt ist. Die Auswirkung ist ein Denial of Service auf dem Router; eine Beeinträchtigung der Vertraulichkeit oder Integrität wird nicht aufgeführt. Der CNA bewertet die Schwachstelle mit CVSS v4.0 8.7 (hoch), die NVD-Analyse war zum Zeitpunkt der Recherche noch ausstehend.

Betroffen

• Junos OS: 23.4 vor 23.4R2-S8.13; 24.2 vor 24.2R2-S5.5; 24.4 vor 24.4R2-S5; 25.2 vor 25.2R2-S2; 25.4 vor 25.4R1-S3; 26.2 vor 26.2R1-S2 (Standardkonfiguration nicht betroffen)
• Junos OS Evolved: 23.4 vor 23.4R2-S8.11-EVO; 24.2 vor 24.2R2-S5.6-EVO; 24.4 vor 24.4R2-S5-EVO; 25.2 vor 25.2R2-S2-EVO; 25.4 vor 25.4R1-S3-EVO; 26.2 vor 26.2R1-S2-EVO
• Ebenfalls aufgeführt: 23.4X100 (Status der Korrektur unbekannt); 25.2X100 vor 25.2X100-D35-EVO; 25.4X300 vor 25.4X300-D40-EVO

Behoben in

• Junos OS: 23.2R2-S7.7, 23.4R2-S8.13, 24.2R2-S5.5, 24.4R2-S5, 25.2R2-S2, 25.4R1-S3, 25.4R2, 26.2R1-S2, 26.2R2, 26.4R1 und neuer
• Junos OS Evolved: 23.2R2-S7.7-EVO, 23.4R2-S8.11-EVO, 24.2R2-S5.6-EVO, 24.4R2-S5-EVO, 25.2R2-S2-EVO, 25.2X100-D35-EVO, 25.4R1-S3-EVO, 25.4R2-EVO, 25.4X300-D40-EVO, 26.2R1-S2-EVO, 26.2R2-EVO, 26.4R1-EVO und neuer
• Korrektur für 23.4X100: Unbekannt. In JSA112187 bestätigen.

Umgehung

• Kein Workaround des Herstellers: keiner bekannt.
• Mögliche Reduktion der Exposition, vor Änderungen auf Produktionsroutern mit Juniper abzustimmen: nicht benötigte nexthop-ecmp-Qualifier aus BGP-Import-Policies entfernen und eBGP-Peers einschränken oder authentifizieren.

Ausnutzung

• Das Juniper SIRT ist keine bösartige Ausnutzung bekannt.
• Zum Zeitpunkt der Recherche nicht im KEV-Katalog der CISA aufgeführt.
• CISA SSVC: Ausnutzung none, automatisierbar ja, technische Auswirkung partiell.

Unsere Empfehlung

• Geräte mit Junos OS und Junos OS Evolved, die BGP einsetzen, inventarisieren und deren Versionen mit JSA112187 vergleichen.
• Prüfen, ob nexthop-ecmp in einer BGP-Import-Policy verwendet wird, und dort entfernen, wo es nicht benötigt wird.
• Updates auf die korrigierten Versionen planen, zuerst für Router mit Peering zu externen Parteien. Den Korrekturstatus für 23.4X100 bei Juniper bestätigen.
• eBGP-Peers auf bekannte Nachbarn beschränken und Session-Schutz wie MD5 oder TTL Security prüfen.
• Auf rpd-Abstürze und Neustarts überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Juniper Security Advisory JSA112187 supportportal.juniper.net
• CVE record mirror (threatint) cve.threatint.com
• OpenCVE entry app.opencve.io
• Vulnrichment (Vulners) vulners.com
• Strix CVE summary www.strix.ai
• Secondary bulletin commentary (SecurityOnline) securityonline.info

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:54.