Juniper Session Smart Router ve Conductor'da 9.8 puanlı iki açık dahil 18 açık kapatıldı

Juniper Networks, 28 Ekim’de yayımladığı JSA112183 numaralı bültenle Session Smart Router ve Session Smart Conductor’daki 18 açığın 7.0.5, 7.1.7 ve 7.2.3 sürümleriyle kapatıldığını duyurdu. Bültene göre açıklar bu sürümlerden önceki bütün sürümleri etkiliyor ve Juniper’ın kendi güvenlik testlerinde bulundu. Juniper açıkların saldırılarda kullanıldığından haberdar olmadığını belirtiyor.

9.8 puanlı iki açık

• CVE-2026-103406: Session Smart Conductor’ın AutomatedProvisioner bileşenindeki bir komut enjeksiyonu açığı. CVE kaydına göre uzaktaki bir saldırgan özel hazırlanmış bir salt minion kimliğiyle root olarak komut çalıştırabiliyor. Bültene göre saldırganın giriş yapmış olması gerekmiyor.
• CVE-2026-103409: Session Smart Router’da root olarak çalışan ve kimlik doğrulaması yapmayan bir iç uç noktaya özel hazırlanmış URL parametreleri gönderen bir saldırgan, yönetici yetkisi elde edebiliyor. CVE kaydına göre açık yalnızca cihaz Mist’e ya da Conductor’a bağlanmadan önce istismar edilebiliyor.

Diğer açıklar

Bunların dışında 8.8 puanlı altı açık var. Bu açıklar root olarak dosyaların üzerine yazmaya, kod ve komut çalıştırmaya ve yetki yükseltmeye izin veriyor. Puanlarına göre beşi için düşük yetkili bir hesap gerekiyor. DHCP seçeneklerini işlerken kod çalıştırmaya yol açan CVE-2026-103408 ise aynı ağ kesimindeki bir saldırgan tarafından giriş yapmadan istismar edilebiliyor. Kalan açıklar arasında hizmet kesintisine, bilgi sızmasına ve bellek hatalarına yol açanlar var.

SecurityWeek’e göre Juniper ayrı bir bildirimde, PHP2Shell açıklarından CVE-2026-109618’in Junos OS’i etkilediğini, ancak istismar edilebilecek şekilde etkilemediğini açıkladı.

Etkilenen ve düzeltilmiş sürümler

• Session Smart Router ve Session Smart Conductor: 7.0.5, 7.1.7 ve 7.2.3 öncesi bütün sürümler etkileniyor.
• Düzeltilmiş sürümler: 7.0.5, 7.1.7, 7.2.3 ve sonrası.
• Juniper, destek ya da geliştirme süresi bitmiş sürümleri değerlendirmiyor.

Önerilen önlemler

Session Smart Router ve Conductor’ı 7.0.5, 7.1.7 ya da 7.2.3 sürümüne veya daha yenisine güncelleyin. Juniper bu açıklar için bilinen bir geçici önlem olmadığını belirtiyor.