Błąd w jądrze Junos OS (CVE-2025-21590) pozwala osobie z dostępem do powłoki wstrzyknąć kod i ominąć kontrolę integralności. Grupa szpiegowska używała go na routerach Juniper. Zaktualizuj Junos OS i uruchom skan JMRT.
Ten alert jest dla zarządu, CTO i CFO firm, które mają routery lub przełączniki Juniper Networks z systemem Junos OS, także utrzymywane przez operatora lub partnera IT. Werdykt: jeśli urządzenie działa na wydaniu Junos OS starszym niż wskazane przez producenta dla swojej gałęzi, zaktualizuj je w tym tygodniu, uruchom narzędzie Juniper Malware Removal Tool i sprawdź, kto ma dostęp do powłoki, bo tę lukę wykorzystywała grupa szpiegowska do ukrycia tylnych furtek w routerach.
Amerykańska agencja CISA 13 marca 2025 roku dopisała podatność CVE-2025-21590 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd siedzi w jądrze Junos OS i polega na niewłaściwym rozdzieleniu części systemu. Osoba, która ma już dostęp do powłoki urządzenia i wysokie uprawnienia, może wstrzyknąć własny kod do działających procesów i ominąć mechanizm kontroli integralności plików.
Luki nie da się wykorzystać przez internet ani z wiersza poleceń Junos CLI: trzeba zejść do powłoki systemu. Według analityków Mandiant grupa szpiegowska UNC3886 używała jej na routerach Juniper MX od połowy 2024 roku, około dziewięciu miesięcy przed wydaniem poprawki. Termin CISA minął 3 kwietnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-21590 (w europejskiej bazie ENISA: EUVD-2025-6303) |
Data dodania do CISA KEV | 2025-03-13 |
Termin naprawy wg CISA | 2025-04-03 (21 dni od wpisu) |
Produkt | Juniper Networks Junos OS (jądro systemu routerów i przełączników) |
Wersje zagrożone | Wszystkie wydania przed 21.2R3-S9; 21.4 przed 21.4R3-S10; 22.2 przed 22.2R3-S6; 22.4 przed 22.4R3-S6; 23.2 przed 23.2R2-S3; 23.4 przed 23.4R2-S4; 24.2 przed 24.2R1-S2 i 24.2R2. Wykorzystanie wymaga dostępu do powłoki z wysokimi uprawnieniami |
Wersje bezpieczne | 21.2R3-S9, 21.4R3-S10, 22.2R3-S6, 22.4R3-S6, 23.2R2-S3, 23.4R2-S4, 24.2R1-S2, 24.2R2 lub nowsze w danej gałęzi. Urządzenia po końcu wsparcia mogą nie mieć poprawki |
Typ podatności | Niewłaściwa izolacja lub rozdzielenie na przedziały; CWE-653 |
Ocena CVSS | Juniper: 4.4 (CVSS 3.1, ŚREDNIA) i 6.7 (CVSS 4.0, ŚREDNIA). Atak lokalny, wysokie uprawnienia, bez udziału użytkownika, wysoki wpływ na integralność. NVD nie wystawił własnej oceny. CISA: wpływ techniczny całkowity |
Numery wydań w każdej gałęzi są pierwszymi wolnymi od problemu, więc firma na starszej gałęzi nie musi przeskakiwać na najnowszą, jeśli jej gałąź jest nadal wspierana.
Wyobraź sobie biuro, w którym sekretariat wykonuje tylko dokumenty podpisane przez dyrektora. Strażnik przy drzwiach nie wpuści nikogo z nowym, niepodpisanym poleceniem. Intruz, który już jest w środku i ma klucz do gabinetu, nie przynosi więc nowego dokumentu. Dopisuje własne zdanie do dokumentu, który dyrektor już podpisał i który leży na biurku przed wykonaniem. Podpis się zgadza, papier się zgadza, treść jest cudza.
Tak działa ta luka. Junos ma podsystem veriexec, który nie pozwala uruchomić programu spoza listy zatwierdzonych. Napastnik nie uruchamia więc własnego pliku, tylko wpisuje swój kod do pamięci procesu, który veriexec już zatwierdził. Z punktu widzenia strażnika nic się nie zmieniło. Grupa UNC3886 zostawiała w ten sposób na routerach tylne furtki nazwane jak prawdziwe procesy systemowe i wyłączała zapisywanie zdarzeń.
💡 Junos OS to system operacyjny urządzeń Juniper, zbudowany na FreeBSD. Junos CLI to wiersz poleceń do konfiguracji, a powłoka (shell) to niższy poziom systemu, do którego administrator zwykle nie schodzi. veriexec to mechanizm, który pozwala uruchamiać tylko zatwierdzone pliki. Tylna furtka (backdoor) to ukryty dostęp zostawiony przez napastnika. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Napastnik wgrywa własny program na router | veriexec blokuje uruchomienie | Kod trafia do pamięci zatwierdzonego procesu i działa |
Lista procesów na routerze | Tylko systemowe | Furtki udające procesy systemowe (appid, to, irad, lmpad, jdosd, oemd) |
Logi zdarzeń | Zapisują działania administratorów | Mogą zostać wyłączone przez napastnika |
Aktualizacja Junos OS | Zamyka lukę | Nie usuwa furtek zostawionych wcześniej |
Router po końcu wsparcia | „Działa, więc zostaje” | Nie dostanie poprawki |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na opisie działań grupy UNC3886 przygotowanym przez Mandiant. To scenariusz poglądowy, a nie odtworzenie incydentu w Twojej firmie. Luka nie jest punktem wejścia: napastnik musi najpierw zdobyć uprzywilejowany dostęp do urządzenia, np. prawdziwe dane logowania. CISA ocenia, że ataku nie da się zautomatyzować.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Zdobycie dostępu | T+0 (tygodnie przygotowań) | Kradzież prawdziwych danych logowania administratora, np. z serwera terminalowego | Logowanie do routera |
2. Zejście do powłoki | T+minuty | Przejście z Junos CLI do powłoki FreeBSD | Dostęp do systemu pod spodem |
3. Wstrzyknięcie kodu | T+minuty | Zapis kodu do pamięci zawieszonego, zatwierdzonego procesu i podmiana wywołania funkcji | Kod napastnika działa mimo veriexec |
4. Tylne furtki | T+godziny | Instalacja furtek opartych na TINYSHELL, nazwanych jak procesy systemowe | Ukryty, stały dostęp |
5. Zacieranie śladów | T+godziny | Wyłączenie zapisywania zdarzeń | Brak możliwości odtworzenia działań |
6. Szpiegowanie | T+miesiące | Podgląd i przekierowanie ruchu przechodzącego przez router | Wyciek komunikacji i haseł |
Mogę Ci jakoś pomóc?
Router brzegowy widzi całą komunikację firmy. Tylna furtka na takim urządzeniu nie powoduje awarii: router działa normalnie, a napastnik ma podgląd na pocztę, hasła i dane. Luka wymaga wysokich uprawnień, więc nie jest problemem masowym, ale w rękach zdeterminowanego napastnika daje trwały i trudny do wykrycia dostęp.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Konieczność przeinstalowania lub wymiany routerów, przerwy w łączności | Dni | 30 tys. do 300 tys. PLN (wymiana sprzętu, praca specjalistów) |
Bezpieczeństwo danych | Podgląd ruchu sieciowego, przechwycenie haseł i korespondencji przez długi czas | Miesiące niezauważonej obecności | 50 tys. do 300 tys. PLN (analiza powłamaniowa, zmiana wszystkich haseł) |
Finansowy | Koszty dochodzenia, wymiany sprzętu po końcu wsparcia, ewentualne straty z wycieku tajemnic handlowych | Tygodnie do miesięcy | 100 tys. do 800 tys. PLN łącznie |
Reputacyjny | Ujawnienie, że komunikacja firmy była podsłuchiwana | Miesiące | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z routerami Juniper
na wydaniach Junos OS bez poprawki
Wpływ
5 | . ■ . . . ← WYSOKIE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny (CISA: całkowity, trwała furtka na urządzeniu widzącym cały ruch), a prawdopodobieństwo niskie dla typowej firmy, bo atak wymaga wcześniejszego uprzywilejowanego dostępu, nie da się go zautomatyzować, a EPSS wynosi poniżej 2%; rośnie dla firm z branż obronnej, technologicznej i telekomunikacyjnej.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać urządzenia Juniper: model, wydanie Junos OS, data końca wsparcia | Dziś | Administrator sieci / operator |
2 | 🟠 PILNIE | Zaktualizować Junos OS do wydania z poprawką dla swojej gałęzi | Do 7 dni | Administrator sieci / partner IT |
3 | 🟠 PILNIE | Po aktualizacji uruchomić Juniper Malware Removal Tool (JMRT) w trybie szybkiego skanu i kontroli integralności | Do 7 dni | Administrator sieci |
4 | 🟠 PILNIE | Sprawdzić, kto i skąd ma dostęp administracyjny i do powłoki; ograniczyć go do minimum | Do 7 dni | Administrator sieci |
5 | 🟠 PILNIE | Zmienić hasła i klucze administracyjne urządzeń, zwłaszcza przechowywane na serwerach terminalowych | Do 7 dni | Administrator sieci |
6 | 🟡 WAŻNIE | Sprawdzić, czy zapisywanie zdarzeń na routerach działa i czy logi trafiają poza urządzenie | Do 14 dni | Dział IT |
7 | 🟡 WAŻNIE | Zaplanować wymianę urządzeń po końcu wsparcia | Do 30 dni | CTO / CFO |
Juniper wydał poprawki dla wymienionych gałęzi. Producent wskazuje, że luki nie da się wykorzystać z Junos CLI, więc kluczowa jest kontrola dostępu do powłoki. Dla urządzeń po końcu wsparcia poprawka może nie istnieć. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ograniczenie dostępu administracyjnego do wydzielonej sieci zarządzania i zaufanych adresów | Wysoka: atak wymaga uprzywilejowanego dostępu | Średnia |
Ograniczenie liczby kont z dostępem do powłoki | Wysoka | Łatwa |
Uruchomienie JMRT w trybie kontroli integralności (zalecenie producenta) | Wysoka w wykrywaniu znanych furtek | Łatwa |
Wysyłanie logów na zewnętrzny serwer | Nie blokuje ataku, utrudnia zatarcie śladów | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wydanie Junos OS | Bez poprawki | Wydanie z poprawką dla gałęzi |
Wiedza o furtkach | Brak | Wynik skanu JMRT |
Dostęp do powłoki | Szeroki, hasła na serwerach terminalowych | Ograniczony, nowe hasła |
Logi | Mogą być wyłączone lub tylko lokalne | Działające i przechowywane poza urządzeniem |
Zgodność z wymogami | Ponad 17 miesięcy po terminie CISA (wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Mandiant: działania grupy UNC3886 na routerach Juniper MX od połowy 2024 roku |
Grupy przestępcze | UNC3886, grupa szpiegowska powiązana z Chinami, atakująca podmioty obronne, technologiczne i telekomunikacyjne w USA i Azji (wg Mandiant, za analizą źródłową) |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 4.4 ŚREDNIA (CVSS 3.1) i 6.7 ŚREDNIA (CVSS 4.0), obie wg Juniper |
PoC dostępny publicznie? | Brak publicznego kodu ataku; Mandiant opisał technikę krok po kroku |
Liczba atakowanych firm | Brak publicznych informacji; zaatakowane routery pracowały na sprzęcie i oprogramowaniu po końcu wsparcia |
Automatyzacja ataku | Nie (ocena CISA) |
Prognoza EPSS | ok. 1,7%, percentyl ok. 76 (wg analizy źródłowej) |
Niski EPSS i średnie oceny CVSS nie oddają skutków, które CISA ocenia jako całkowite:
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2025-21590
CVSS 3.1 (Juniper) 4.4/10 █████████░░░░░░░░░░░ ŚREDNIA
CVSS 4.0 (Juniper) 6.7/10 █████████████░░░░░░░ ŚREDNIA
EPSS (prawdopodob.) ~1,7% ░░░░░░░░░░░░░░░░░░░░ percentyl ok. 76
CISA KEV TAK ████████████████████ ataki potwierdzone
Wpływ (CISA) TOTAL ████████████████████ całkowity 2024 (połowa) Mandiant wykrywa działania UNC3886 na routerach Juniper MX
2025-03-12 Juniper publikuje biuletyn poza cyklem, publikacja CVE w NVD
2025-03-13 CISA dodaje lukę do KEV, ENISA: początek wykorzystania
2025-04-03 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 17 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta: supportportal.juniper.net: 2025-03 Out-of-Cycle Security Bulletin, CVE-2025-21590 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-21590 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma, operator lub partner IT używa urządzeń Juniper w naszej sieci | CTO | DZISIAJ |
2 | Uzyskać listę urządzeń z wydaniem Junos OS i datą końca wsparcia | CTO | DZISIAJ |
3 | Zatwierdzić okno serwisowe na aktualizację i skan JMRT | CTO | DO JUTRA |
4 | Zlecić przegląd kont z dostępem administracyjnym i do powłoki | CTO | DO JUTRA |
5 | Oszacować koszt wymiany urządzeń po końcu wsparcia | CFO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli skan coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić w umowie z operatorem lub partnerem IT, kto odpowiada za aktualizacje routerów | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile urządzeń Juniper mamy i na jakich wydaniach Junos OS działają? | [liczba / wersja] | 🔴 |
2 | Czy któreś z nich jest po końcu wsparcia producenta? | TAK / NIE | 🔴 |
3 | Kiedy zainstalowano poprawkę dla CVE-2025-21590? | [data] | 🟠 |
4 | Czy uruchomiono Juniper Malware Removal Tool i jaki był wynik? | TAK / NIE | 🟠 |
5 | Ile kont ma dostęp do powłoki urządzeń i skąd można się logować? | [liczba] | 🟠 |
6 | Gdzie są przechowywane hasła administracyjne do routerów? | [lokalizacja] | 🟠 |
7 | Czy logi routerów są wysyłane na zewnętrzny serwer? | TAK / NIE | 🟡 |
CVE-2025-21590 w Junos OS pozwala osobie z uprzywilejowanym dostępem do powłoki ukryć kod w zatwierdzonych procesach routera, a grupa szpiegowska UNC3886 wykorzystywała ją miesiącami przed wydaniem poprawki. W tym tygodniu warto zaktualizować urządzenia, uruchomić skan JMRT, ograniczyć dostęp do powłoki i zaplanować wymianę sprzętu po końcu wsparcia.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.