CVE-2026-33771

Słabe wymagania hasła w Juniper Networks CTP OS — przejęcie urządzenia

CVSS 9.1v4.0pub. 2026-04-09upd. 2026-07-13

Podatność klasy Weak Password Requirements w module zarządzania hasłami systemu Juniper Networks CTP OS umożliwia nieuwierzytelnionemu atakującemu zdalnie odgadnięcie słabych haseł kont lokalnych i przejęcie pełnej kontroli nad urządzeniem. Problem wynika z tego, że skonfigurowane wymagania dotyczące złożoności haseł nie są zapisywane i tym samym nie są egzekwowane.

▸ Pokaż oryginał (EN)

A Weak Password Requirements vulnerability in the password management function of Juniper Networks CTP OS might allow an unauthenticated, network-based attacker to exploit weak passwords of local accounts and potentially take full control of the device. The password management menu enables the administrator to set password complexity requirements, but these settings are not saved. The issue can be verified with the menu option "Show password requirements". Failure to enforce the intended requirements can lead to weak passwords being used, which significantly increases the likelihood that an attacker can guess these and subsequently attain unauthorized access. This issue affects CTP OS versions 9.2R1 and 9.2R2.

🤖 Analiza AI

Jak działa

Administrator systemu CTP OS może ustawić wymagania dotyczące złożoności haseł za pomocą dedykowanego menu, jednak wprowadzone ustawienia nie są trwale zapisywane. W praktyce oznacza to, że wymagania te nie obowiązują — użytkownicy mogą ustawiać dowolnie proste hasła dla kont lokalnych. Atakujący sieciowy, bez żadnego uwierzytelnienia, może wykorzystać tę słabość do przeprowadzenia ataków siłowych (brute-force) lub słownikowych na konta lokalne, znacznie zwiększając szansę na uzyskanie nieautoryzowanego dostępu. Stan aktualnych wymagań można zweryfikować opcją menu „Show password requirements".

Skutki

Skuteczne wykorzystanie podatności może pozwolić atakującemu na uzyskanie nieautoryzowanego dostępu do kont lokalnych urządzenia, a w konsekwencji na przejęcie pełnej kontroli nad urządzeniem CTP OS.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://kb.juniper.net/JSA107864). Do czasu wdrożenia poprawki zaleca się ręczne egzekwowanie polityki silnych haseł dla wszystkich kont lokalnych oraz ograniczenie dostępu sieciowego do interfejsów zarządzania urządzeniem.

Kogo dotyczy

Juniper Networks CTP OS w wersjach 9.2R1 oraz 9.2R2.

Uwagi

Podatność dotyczy wyłącznie wersji 9.2R1 i 9.2R2 systemu CTP OS. Wektor CVSS wskazuje na atak sieciowy bez wymagania uwierzytelnienia, jednak z warunkiem wstępnym (AT:P), co oznacza konieczność spełnienia pewnych warunków środowiskowych po stronie atakującego.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:Y/R:X/V:X/RE:M/U:X