Juniper Junos OS: Authentifizierungsumgehung in J-Web ermöglicht CGI-Ausführung

Zusammenfassung

J-Web, die Webverwaltungsoberfläche der Geräte mit Juniper Junos OS und Junos OS Evolved, enthält einen Fehler bei der Authentifizierung (CWE-287). Ein nicht authentifizierter Angreifer im Netzwerk kann die J-Web-Authentifizierung mit einer manipulierten HTTP-Anfrage umgehen und CGI-Inhalte mit erhöhten Rechten ausführen. Voraussetzung ist, dass J-Web aktiviert und über HTTP oder HTTPS aus der Netzwerkposition des Angreifers erreichbar ist. Juniper SIRT ist keine bösartige Ausnutzung bekannt.

Betroffen

• Junos OS: 0 bis < 23.2R2-S7.7; 23.4 bis < 23.4R2-S8.13; 24.2 bis < 24.2R2-S5.5; 24.4 bis < 24.4R2-S5; 25.2 bis < 25.2R2-S2; 25.4 bis < 25.4R1-S3; 26.2 bis < 26.2R1-S2 (Standard: nicht betroffen)
• Junos OS Evolved: 0 bis < 23.2R2-S7.7-EVO; 23.4 bis < 23.4R2-S8.11-EVO; 24.2 bis < 24.2R2-S5.6-EVO; 24.4 bis < 24.4R2-S5-EVO; 25.2 bis < 25.2R2-S2-EVO; 25.4 bis < 25.4R1-S3-EVO; 26.2 bis < 26.2R1-S2-EVO; zusätzlich X-Train-Builds 23.4X100, 25.2X100 bis < 25.2X100-D35-EVO und 25.4X300 bis < 25.4X300-D40-EVO (Standard: nicht betroffen)

Behoben in

• Junos OS: 23.2R2-S7.7, 23.4R2-S8.13, 24.2R2-S5.5, 24.4R2-S5, 25.2R2-S2, 25.4R1-S3, 25.4R2, 26.2R1-S2, 26.2R2, 26.4R1 und alle nachfolgenden Versionen
• Junos OS Evolved: 23.2R2-S7.7-EVO, 23.4R2-S8.11-EVO, 24.2R2-S5.6-EVO, 24.4R2-S5-EVO, 25.2R2-S2-EVO, 25.2X100-D35-EVO, 25.4R1-S3-EVO, 25.4R2-EVO, 25.4X300-D40-EVO, 26.2R1-S2-EVO, 26.2R2-EVO, 26.4R1-EVO und alle nachfolgenden Versionen
• Die Builds vor geplanten Änderungen anhand der Juniper-Meldung JSA112187 prüfen.

Umgehung

Unbekannt. Juniper nennt keine bekannten Workarounds.

• Die Einschränkung des Zugriffs auf J-Web mit Firewall- oder ACL-Regeln reduziert die Exposition, behebt den Fehler jedoch nicht.
• Das Deaktivieren von J-Web auf Geräten, die es nicht benötigen, entfernt diesen Angriffsweg.

Ausnutzung

• Juniper SIRT ist keine bösartige Ausnutzung bekannt.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• In der Recherche wurde kein öffentlicher Proof-of-Concept gefunden. Dies beweist jedoch nicht, dass keiner existiert.
• Frühere J-Web-Schwachstellen (2023) wurden von Angreifern verkettet, um eine nicht authentifizierte Remote Code Execution auf EX-Switches und SRX-Firewalls zu erreichen.

Unsere Empfehlung

• Alle Geräte mit Junos OS und Junos OS Evolved erfassen und prüfen, ob J-Web aktiviert und erreichbar ist.
• J-Web jetzt deaktivieren oder auf ein Management-VLAN beziehungsweise einen Jump Host beschränken.
• Die installierte Version mit JSA112187 vergleichen und den korrigierten Build planen.
• Logs auf unerwartete CGI-Anfragen oder administrative Sitzungen auf Geräten mit aktiviertem J-Web prüfen.
• CVE-2026-101956 und CVE-2026-101954, am selben Tag veröffentlicht, in dieselbe Prüfung einbeziehen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Juniper advisory JSA112187 supportportal.juniper.net
• OpenCVE CVE-2026-101986 app.opencve.io
• Singapore CSA alert AL-2026-146 www.csa.gov.sg
• Vulnrichment CVE-2026-101986 vulners.com
• Analysis of J-Web authentication failures (dev.to) dev.to
• Mallory: J-Web exploitation precedent mallory.ai
• Sentinelone CVE-2023-36844 (earlier J-Web flaw) www.sentinelone.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:58.