CVE-2025-21589: Bypass de autenticação no Juniper Session Smart Router
A CVE-2025-21589 é um bypass de autenticação (CWE-288) no Juniper Session Smart Router, no Session Smart Conductor e nos WAN Assurance Managed Routers, que, segundo o registro, pode permitir que um atacante na rede assuma controle administrativo do dispositivo. O fornecedor atribui nota 9,8 pelo CVSS 3.1 e 9,3 pelo CVSS 4.0. O registro não indica inclusão no catálogo CISA KEV, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
A CVE-2025-21589 está classificada como CWE-288, bypass de autenticação usando um caminho ou canal alternativo. Segundo o registro, a falha afeta o Juniper Networks Session Smart Router, o Session Smart Conductor e os WAN Assurance Managed Routers, e um atacante na rede poderia contornar a autenticação e obter controle administrativo.
Impacto
O registro descreve o impacto como controle administrativo do dispositivo afetado após a autenticação ser contornada. O fornecedor atribui nota base 9,8 (crítica) pelo CVSS 3.1 e 9,3 pelo CVSS 4.0, ambas emitidas pelo CNA sirt@juniper.net.
Produtos e versões afetadas
A descrição do registro lista as seguintes faixas afetadas para cada um dos três produtos:
- 5.6.7 antes da 5.6.17
- 6.0 antes da 6.0.8 (afetado a partir da 6.0.8)
- 6.1 antes da 6.1.12-lts
- 6.2 antes da 6.2.8-lts
- 6.3 antes da 6.3.3-r2
Os campos estruturados de produtos afetados e correções do registro estão vazios, portanto essas faixas vêm apenas do texto da descrição.
Status de exploração
O registro indica que a vulnerabilidade não está listada no catálogo CISA KEV. Nenhuma exploração confirmada aparece nas fontes consultadas. O registro também não possui pontuação EPSS.
Correção e mitigação
- Identifique todas as implantações de Session Smart Router, Session Smart Conductor e WAN Assurance Managed Routers e compare as versões de software com as faixas listadas acima.
- Planeje a atualização para as versões em que as faixas listadas terminam, conforme indicado pelos limites da descrição: 5.6.17, 6.0.8, 6.1.12-lts, 6.2.8-lts ou 6.3.3-r2, conforme a linha de versão em uso.
- Consulte o aviso do fornecedor JSA94663 para a orientação oficial de correção.
- Até que a aplicação das correções seja concluída, restrinja o acesso às interfaces de gerenciamento a redes administrativas confiáveis e limite quais origens podem alcançar os serviços administrativos.
Orientações de detecção
- Revise os registros de login administrativo e as alterações de configuração do dispositivo em busca de sessões administrativas inesperadas ou novas contas administrativas.
- Monitore o tráfego do plano de gerenciamento vindo de redes não confiáveis e gere alertas para tentativas de acesso aos serviços administrativos a partir de origens inesperadas.
- Compare as configurações dos dispositivos com linhas de base conhecidas após qualquer atividade administrativa suspeita.
Limitações das informações disponíveis
O registro não inclui o texto completo do aviso do fornecedor, por isso as builds corrigidas exatas, eventuais soluções de contorno e o gatilho técnico preciso são desconhecidos nas fontes consultadas. Os campos de produtos afetados e correções estão vazios, e não há dados EPSS ou SSVC disponíveis.
Perguntas frequentes
O que a CVE-2025-21589 permite?
Segundo o registro, um atacante na rede poderia contornar a autenticação em dispositivos Juniper Session Smart afetados e obter controle administrativo.
Quais produtos Juniper são afetados?
O registro lista Session Smart Router, Session Smart Conductor e WAN Assurance Managed Routers, cada um com as faixas de versão indicadas na descrição.
Há exploração conhecida desta vulnerabilidade?
O registro indica que ela não está listada no CISA KEV, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.