Juniper Networks: Kritische RCE-Lücke CVE‑2026‑21902 ermöglicht Root-Übernahme von PTX-Routern
Juniper Networks hat einen Notfall-Patch für CVE-2026-21902 (CVSS 9.8) veröffentlicht. Die kritische Lücke im On-Box Anomaly Detection Framework von Junos OS Evolved erlaubt unauthentifizierten Angreifern die vollständige Root-Übernahme von PTX-Series-Routern.
Juniper Networks hat außerplanmäßige Sicherheitsupdates für eine kritische Schwachstelle in PTX-Series-Routern veröffentlicht. Die als CVE-2026-21902 erfasste Lücke erhält einen CVSS-v3.1-Basiswert von 9.8 und ermöglicht einem unauthentifizierten Angreifer aus dem Netz heraus die vollständige Übernahme des betroffenen Geräts mit Root-Rechten. Betroffen sind ausschließlich Systeme, auf denen Junos OS Evolved läuft – Standard-Junos-OS-Installationen sind nicht gefährdet.
Die Schwachstelle
Ursache der Lücke ist eine fehlerhafte Berechtigungsvergabe im On-Box Anomaly Detection Framework von Junos OS Evolved. Dieser interne Diagnosedienst ist standardmäßig über einen nach außen erreichbaren Netzwerkport zugänglich, obwohl er ausschließlich für lokale, interne Nutzung vorgesehen ist. Da der Dienst keinerlei Authentifizierung verlangt, kann ein entfernter Angreifer ohne Zugangsdaten direkt darüber beliebigen Code mit Root-Rechten ausführen.
Der Angriffsvektor ist rein netzwerkbasiert und erfordert weder physischen Zugang noch vorherige Anmeldung. Dies macht CVE-2026-21902 zu einer der gefährlichsten Klassen von Netzwerk-Schwachstellen: Ein einzelnes erreichbares Paket kann genügen, um einem Angreifer vollständige Kontrolle über den Router zu verschaffen. Bislang ist keine aktive Ausnutzung in freier Wildbahn bekannt; der triviale Angriffsvektor macht ein hohes Exploit-Risiko jedoch wahrscheinlich.
Bin ich betroffen?
Administratoren sind betroffen, wenn sie PTX-Series-Router mit Junos OS Evolved in einer Version vor 25.4R1-S1-EVO oder 25.4R2-EVO betreiben. Standard-Junos-OS (Non-Evolved) ist ausdrücklich nicht betroffen.
| Kriterium | Betroffen |
|---|---|
| Hardware | Juniper PTX Series Router |
| Betriebssystem | Junos OS Evolved (nur EVO-Variante) |
| Versionen | Alle Versionen vor 25.4R1-S1-EVO und 25.4R2-EVO |
| Standard Junos OS | Nicht betroffen |
Die laufende Junos-OS-Evolved-Version lässt sich auf dem Router mit folgendem Befehl abfragen:
show versionWie behebe ich das?
Juniper empfiehlt die sofortige Aktualisierung auf eine der bereinigten Versionen. Die Fixes sind in folgenden Releases enthalten:
- 25.4R1-S1-EVO
- 25.4R2-EVO
- 26.2R1-EVO
Das Update sollte über den offiziellen Juniper Support-Kanal bezogen und nach den geltenden Change-Management-Prozessen eingespielt werden. Für Umgebungen, in denen ein sofortiges Update nicht möglich ist, stehen zwei Workarounds zur Verfügung:
- Firewall-Filter: Den extern erreichbaren Port des Anomaly-Detection-Dienstes per Firewall-Regelwerk sperren, sodass nur autorisierte Management-Hosts Zugriff erhalten.
- Dienst deaktivieren: Das On-Box Anomaly Detection Framework mit folgendem Befehl abschalten:
request pfe anomalies disableBeide Workarounds reduzieren das Risiko erheblich, ersetzen aber keinen vollständigen Patch. Die Implementierung von Firewall-Filtern zum Schutz von Netzwerkdiensten und Management-Interfaces ist eine grundlegende Härtungsmaßnahme – wie das grundsätzlich funktioniert, zeigt die Anleitung zur pfSense/OPNsense-Firewall-Erstkonfiguration. Ergänzend lohnt ein Blick auf die Anleitung zu VLANs und Netzwerksegmentierung, um Management-Traffic konsequent vom Produktivnetz zu trennen.
Was bedeutet das für Unternehmen?
PTX-Series-Router werden als Core- und Provider-Edge-Router in großen Unternehmens- und Carrier-Netzwerken eingesetzt. Eine vollständige Root-Kompromittierung bedeutet in diesem Kontext totalen Kontrollverlust über kritische Netzwerkinfrastruktur: Angreifer können Routing-Tabellen manipulieren, Traffic umleiten oder mitlesen, Verbindungen kappen und tiefer ins Netz vordringen.
Aufgrund des CVSS-Scores von 9.8 und des trivialen, authentifizierungsfreien Angriffsvektors sollte CVE-2026-21902 mit höchster Priorität behandelt werden. Netzwerkteams in betroffenen Umgebungen sollten unverzüglich prüfen, welche PTX-Geräte mit Junos OS Evolved betrieben werden, und die Patch-Bereitstellung oder zumindest die Workarounds ohne Verzug in Angriff nehmen. Auch ein kurzfristiges Netzwerk-Audit zur Überprüfung bestehender Management-Zugriffsbeschränkungen ist empfehlenswert.
Da keine aktive Ausnutzung bekannt ist, besteht noch ein Zeitfenster für geordnetes Handeln – dieses Fenster kann sich jedoch mit Veröffentlichung von Proof-of-Concept-Exploits rasch schließen.
