주니퍼네트웍스는 위협 공격자가 취약한 시스템을 제어하기 위해 악용할 수 있는 SRX 시리즈 및 EX 시리즈의 심각도가 높은 결함을 해결하기 위한 업데이트를 발표했다.

CVE-2024-21619 및 CVE-2024-21620으로 추적되는 이 취약점은 J-Web 구성 요소에 뿌리를 두고 있으며 모든 버전의 Junos OS에 영향을 미친다. 다른 두 가지 결함인 CVE-2023-36846과 CVE-2023-36851은 2023년 8월에 이미 공개되었다.

-CVE-2024-21619(CVSS 점수: 5.3) - 민감한 구성 정보가 노출될 수 있는 누락된 누락 취약점

-CVE-2024-21620(CVSS 점수: 8.8) - 특수하게 조작된 요청을 통해 공격자의 권한을 가진 임의의 명령이 실행될 수 있는 크로스 사이트 스크립팅(XSS) 취약점

이 문제에 대한 크레딧은 발견하고 보고한 사이버 보안 업체인 워치타워 랩스가 받았다.

두 가지 취약점은 다음 버전에서 해결되었다.

-CVE-2024-21619 - 20.4R3-S9, 21.2R3-S7, 21.3R3-S5, 21.4R3-S6, 22.1R3-S5, 22.2R3-S3, 22.3R3-S2, 22.4R3, 23.2R1-S2, 23.2R2, 23.4R1 및 모든 후속 릴리스

-CVE-2024-21620 - 20.4R3-S10, 21.2R3-S8, 21.4R3-S6, 22.1R3-S5, 22.2R3-S3, 22.3R3-S2, 22.4R3-S1, 23.2R2, 23.4R2 및 모든 후속 릴리스

수정 사항이 배포될 때까지 일시적인 완화 조치로 사용자가 J-Web을 비활성화하거나 신뢰할 수 있는 호스트로만 액세스를 제한할 것을 권장하고 있다.

CVE-2023-36846과 CVE-2023-36851은 모두 미국 사이버 보안 및 인프라 보안국(CISA)에서 2023년 11월에 익스플로잇이 활발히 이루어지고 있다는 증거를 바탕으로 알려진 익스플로잇 취약점(KEV) 카탈로그에 추가되었다는 사실에 주목할 필요가 있다.

이외에도 이달 초 주니퍼 네트웍스는 공격자가 서비스 거부(DoS) 또는 원격 코드 실행을 유발하고 장치에 대한 루트 권한을 획득할 수 있는 동일한 제품의 심각한 취약점(CVE-2024-21591, CVSS 점수: 9.8)을 해결한 패치도 제공했다.

★정보보안 대표 미디어 데일리시큐 / Dailysecu, Korea's leading security media!★