Juniper Session Smart Router: OS-Command-Injection in AccessManager-Audit-Regeln
Zusammenfassung
Eine OS-Command-Injection-Schwachstelle (CWE-78) in der Komponente AccessManager von Juniper Session Smart Router und Session Smart Conductor erlaubt beim Löschen einer Audit-Regel das beliebige Löschen von Dateien und die beliebige Ausführung von Befehlen. Ein Angreifer benötigt ein gültiges Konto mit niedrigen Berechtigungen auf dem Gerät oder der Management-Plattform, der CVSS-Wert beträgt 8.8 (hoch). Laut Juniper SIRT ist keine bösartige Ausnutzung bekannt.
Betroffen
- Session Smart Router: Versionen vor 7.0.5, 7.1.0 bis vor 7.1.7 sowie 7.2.0 bis vor 7.2.3
- Session Smart Conductor: Versionen vor 7.0.5, 7.1.0 bis vor 7.1.7 sowie 7.2.0 bis vor 7.2.3
- Genaue Build-Nummern innerhalb der einzelnen Zweige: in JSA112183 prüfen
Behoben in
- Session Smart Router und Session Smart Conductor ab 7.0.5
- Session Smart Router und Session Smart Conductor ab 7.1.7
- Session Smart Router und Session Smart Conductor ab 7.2.3
Umgehung
- Laut Juniper sind keine Workarounds bekannt.
- Vorläufige Massnahme (eigene Einschätzung, keine Empfehlung von Juniper): Zugriff auf die Management-Schnittstellen einschränken, bis das Update eingespielt ist.
Ausnutzung
- Laut Juniper SIRT ist keine bösartige Ausnutzung bekannt.
- Nicht im CISA-KEV-Katalog aufgeführt.
- Zum Zeitpunkt der Veröffentlichung sind keine öffentlichen Proof-of-Concept-Exploits bekannt.
- EPSS: 1.18 % (Perzentil 68).
Unsere Empfehlung
- Alle Session Smart Router- und Session Smart Conductor-Installationen erfassen und die Versionen prüfen.
- Auf 7.0.5, 7.1.7 oder 7.2.3 (oder neuer) aktualisieren, wie in JSA112183 beschrieben.
- Geräte priorisieren, die von ausserhalb des Netzwerks erreichbar sind, sowie Geräte mit gemeinsam genutzten Administratorkonten.
- Management-Zugriff bis zum Abschluss der Patches auf vertrauenswürdige Administratoren beschränken.
- Zusammen mit den anderen CVEs aus JSA112183 im selben Wartungsfenster patchen, einige davon sind mit 9.8 bewertet und benötigen keine Anmeldung.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Juniper Security Advisory JSA112183 supportportal.juniper.net
- VulDB CVE-2026-103403 vuldb.com
- Strix CVE-2026-103403 www.strix.ai
- Offseq threat radar CVE-2026-103403 radar.offseq.com
- Mallory summary CVE-2026-103403 mallory.ai
- SecurityOnline Juniper Session Smart Router vulnerabilities securityonline.info
- ThreatInt CVE-2026-103403 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:32.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.