シンガポールのサイバーセキュリティ庁(CSA)は、Juniper NetworksのJunos OSとJunos OS Evolvedにある重大な脆弱性9件について注意喚起しました。Juniper Networksは修正するセキュリティ更新を公開しており、CSAは対象製品の利用者と管理者に直ちに最新バージョンへ更新するよう勧告しています。提供された資料には、注意喚起の公表日は記載されていません。
Web管理や経路交換の設定も確認が必要
9件はいずれも、脆弱性の深刻度を示す共通指標「CVSS v3.1」で10点満点中9.8とされています。ただし、悪用の条件は同じではありません。OSの版に加え、管理機能や接続先の設定を確認する必要があります。
Web管理に関わるものでは、CVE-2026-101986は細工したHTTP要求でJ-Webの認証を回避できる脆弱性です。CVE-2026-101954は、Web管理が有効な場合に、認証なしで機器を乗っ取られる恐れがあります。
経路情報を交換する仕組み「BGP」に関わるものもあります。CVE-2026-102178は特定のBGP設定下で経路制御部の侵害につながります。CVE-2026-101990は設定済みBGPピアからの更新で、経路制御を担うrpdが停止する恐れがあります。CVE-2026-33796では、設定済みの外部BGP隣接機器から、機器の最上位権限であるroot権限での実行につながる恐れがあります。
このほか、未認証の遠隔攻撃者によるコード実行やサービス停止、SDX/SRC接続の制御・傍受、BGP/EVPNピアやBMPの利用に関わる脆弱性が含まれます。「外部から管理画面を開けない」ことだけで、9件すべてを対象外と判断しないことが重要です。
対象版はOSごとに照合する
CSAが示した対象範囲は次のとおりです。系列によって境界となる版が異なります。
Junos OS
- 23.2R2-S7.7より前の全バージョン
- 23.4系：23.4R2-S8.13未満
- 24.2系：24.2R2-S5.5未満
- 24.4系：24.4R2-S5未満
- 25.2系：25.2R2-S2未満
- 25.4系：25.4R1-S3未満
- 26.2系：26.2R1-S2未満
Junos OS Evolved
- 23.2R2-S7.7-EVOより前の全バージョン
- 23.4系：23.4R2-S8.11-EVO未満
- 24.2系：24.2R2-S5.6-EVO未満
- 24.4系：24.4R2-S5-EVO未満
- 25.2系：25.2R2-S2-EVO未満
- 25.4系：25.4R1-S3-EVO未満
- 26.2系：26.2R1-S2-EVO未満
- 23.4X100-EVO
- 25.2X100系：25.2X100-D35-EVO未満
- 25.4X300系：25.4X300-D40-EVO未満
特に23.4系と24.2系は、Junos OSとJunos OS Evolvedで境界となる版の末尾が異なります。数字の一部だけでなく、OS名と完全なバージョン表記をセットで照合してください。更新の日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する: 上記の対象版のJunos OSまたはJunos OS Evolvedを使っている会社です。まず対象機器を洗い出し、更新対応を進める必要があります。
- 影響する: 対象版でWeb管理、BGP/EVPNピア、BMPなどを利用している会社です。脆弱性ごとの条件を確認するため、版だけでなく設定情報も担当者や保守委託先から集めてください。
- 影響しない: Junos OSとJunos OS Evolvedを利用していない会社は、今回示された対象製品には該当しません。他製品の安全性まで示す注意喚起ではありません。
情シスが今日やること
- 今日、資産台帳と機器の稼働情報を照合します。 Juniper Networks製品の有無を確認し、Junos OSかJunos OS Evolvedか、完全なバージョン表記、設置先、保守担当を一覧にします。具体的な管理画面の名称や確認コマンドは発表には書かれていません。確認方法が分からない機器は保守委託先へ照会してください。
- 対象版と照合したら、設定確認を依頼します。 ネットワーク担当者に、J-Web・Web管理の有効状況、BGP/EVPNの接続先、BMP、SDX/SRC接続の利用状況を確認してもらいます。未確認の項目は「未確認」と残し、対象外と扱わないようにします。
- 対象機器が分かった時点で、更新日程を決めます。 CSAの勧告は直ちに最新バージョンへ更新することです。保守委託先へ対象一覧を送り、適用する版と作業可能日時の回答を求めます。業務担当者には更新作業の予定と、影響の確認結果を共有してください。
- 作業後は、稼働版を取り直して記録します。 更新予定の版と実際の稼働版を照合し、台帳へ反映します。未更新の機器は理由、対応担当、次の作業予定を残し、更新済みの機器と分けて管理してください。
