CVE-2026-21902 : RCE root pré-auth sur Juniper PTX (9.8)

Les faits

Référencée CVE-2026-21902 et assortie d'un score CVSS de 9.8, cette vulnérabilité critique affecte les routeurs Juniper Networks PTX Series exécutant le système d'exploitation Junos OS Evolved. Exploitable à distance et sans authentification préalable, elle permet l'exécution de code arbitraire avec les privilèges root, compromettant ainsi l'intégralité de l'équipement réseau. Compte tenu du positionnement des châssis PTX au cœur des infrastructures de transport des opérateurs et des grands fournisseurs de services, l'impact potentiel dépasse largement le seul périmètre de l'équipement touché. L'avis de sécurité a été relayé par le CERT-FR le 10 avril 2026, dans le cadre d'une alerte couvrant plusieurs produits Juniper Networks, tandis qu'une analyse technique détaillée a été publiée par les chercheurs de watchTowr Labs. Les administrateurs concernés sont invités à appliquer sans délai les correctifs diffusés par l'éditeur.

La faille provient d'une erreur d'attribution de permissions dans le framework On-Box Anomaly Detection. Une API REST basée sur Python se lie à toutes les interfaces réseau (0.0.0.0) sur le port TCP 8160 sans aucun mécanisme d'authentification. Un attaquant distant peut exploiter cette API pour exécuter du code arbitraire avec les privilèges root, prenant ainsi le contrôle complet du routeur.

WatchTowr Labs a qualifié cette vulnérabilité de « one packet to root », soulignant la simplicité d'exploitation. L'agence de cybersécurité de Singapour (CSA) a également émis une alerte spécifique concernant cette faille.

Impact et exposition

Les routeurs PTX Series de Juniper sont déployés dans les cœurs de réseau des opérateurs télécoms, des fournisseurs d'accès Internet et des grandes entreprises. Une compromission de ces équipements permettrait à un attaquant d'intercepter, modifier ou rediriger l'ensemble du trafic réseau transitant par le routeur, avec des conséquences potentiellement catastrophiques sur la confidentialité et l'intégrité des communications.

Les versions affectées sont toutes les versions 25.4.x de Junos OS Evolved antérieures à 25.4R1-S1-EVO et 25.4R2-EVO. Les versions antérieures à 25.4R1-EVO ne sont pas affectées, tout comme les versions standard (non Evolved) de Junos OS. À ce jour, aucune exploitation active n'a été confirmée dans la nature, mais la publication du détail technique par watchTowr rend l'exploitation par des acteurs malveillants très probable à court terme.

Recommandations immédiates

• Mettre à jour vers Junos OS Evolved 25.4R1-S1-EVO, 25.4R2-EVO ou 26.2R1-EVO — advisory Juniper JSA-2026-04-001
• En attendant le patch : appliquer des ACL ou filtres pare-feu pour bloquer tout accès externe au port TCP 8160 sur les interfaces management et data plane
• Vérifier les journaux d'accès au port 8160 pour détecter toute connexion suspecte
• Scanner le réseau interne pour identifier tous les équipements PTX exposés
• Segmenter les plans de management des routeurs du reste du réseau

Décomposition du score CVSS 9.8

Le vecteur CVSS 3.1 associé à CVE-2026-21902 s'établit à AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Chaque métrique confirme la sévérité maximale : AV:N (vecteur réseau, exploitation à distance sans accès local), AC:L (complexité d'attaque faible — un seul paquet HTTP suffit), PR:N (aucun privilège requis) et UI:N (aucune interaction utilisateur nécessaire). Les impacts en confidentialité, intégrité et disponibilité sont tous notés High, puisque l'exécution de code s'effectue directement avec les droits root du système d'exploitation Junos OS Evolved, sans passer par un mécanisme de cloisonnement ou de sandbox.

Comment savoir si je suis vulnérable ?

La vérification s'effectue en deux temps. D'abord, contrôler la version exacte de Junos OS Evolved via la commande show version : seules les branches 25.4.x antérieures à 25.4R1-S1-EVO sont concernées. Ensuite, vérifier si le service On-Box Anomaly Detection est actif et à l'écoute sur le port TCP 8160, avec la commande show system connections | match 8160 ou un scan local en netstat -tlnp | grep 8160. Si le service répond sur une interface autre que loopback, l'équipement est exposé. Un test distant non intrusif via nmap -p 8160 <IP> permet également de confirmer l'accessibilité du port depuis l'extérieur du réseau de management.

Les routeurs Juniper non-PTX sont-ils affectés ?

Non. La vulnérabilité est strictement circonscrite aux plateformes PTX Series exécutant Junos OS Evolved, la variante basée sur un noyau Linux conteneurisé de l'OS Juniper. Les gammes MX, EX, SRX et QFX fonctionnant sous Junos OS classique ne sont pas concernées, car le framework On-Box Anomaly Detection à l'origine de la faille n'existe que dans l'architecture Evolved. Les administrateurs gérant un parc mixte doivent néanmoins vérifier individuellement chaque châssis, certains modèles PTX pouvant coexister avec du Junos OS standard selon la configuration déployée.

Votre infrastructure est-elle exposée ?

L'exposition réelle dépend de la segmentation du réseau de management. Dans une architecture conforme aux bonnes pratiques, le port 8160 ne devrait être joignable que depuis un VLAN d'administration dédié, isolé du plan de données et protégé par un pare-feu. De nombreux déploiements en production laissent toutefois l'interface de gestion accessible depuis des réseaux plus larges pour des raisons opérationnelles, ce qui élève considérablement la surface d'attaque. Les opérateurs télécoms et FAI utilisant des PTX en périphérie de réseau (edge) ou en interconnexion BGP sont particulièrement concernés, ces équipements étant parfois administrés via des tunnels VPN partagés avec d'autres usages.