Heimdall Security Logo

CVE-2024-21609

Vulnérabilité élevée dans Junos OS (Juniper Networks)

CVSS 7.1 · Élevée
EPSS 0.3%
Juniper Networks•Junos OS•Versions : <21.2R3-S7, 21.2, <22.1R3-S3, 21.4, <21.3R3-S5, 22.4, 23.2, <22.4R3, 22.2, <20.4R3-S9, 0, 22.1, <23.2R1-S2, 23.2R2, <22.3R3, 21.3, <21.4R3-S4, 22.3, <22.2R3-S2

Description

A Missing Release of Memory after Effective Lifetime vulnerability in the IKE daemon (iked) of Juniper Networks Junos OS on MX Series with SPC3, and SRX Series allows an administratively adjacent attacker which is able to successfully establish IPsec tunnels to cause a Denial of Service (DoS). If specific values for the IPsec parameters local-ip, remote-ip, remote ike-id, and traffic selectors are sent from the peer, a memory leak occurs during every IPsec SA rekey which is carried out with a specific message sequence. This will eventually result in an iked process crash and restart. The iked process memory consumption can be checked using the below command:   user@host> show system processes extensive | grep iked           PID USERNAME   PRI NICE   SIZE   RES   STATE   C TIME WCPU COMMAND           56903 root       31   0     4016M 2543M CPU0   0 2:10 10.50% iked This issue affects Juniper Networks Junos OS: * All versions earlier than 20.4R3-S9; * 21.2 versions earlier than 21.2R3-S7; * 21.3 versions earlier than 21.3R3-S5; * 21.4 versions earlier than 21.4R3-S4; * 22.1 versions earlier than 22.1R3-S3; * 22.2 versions earlier than 22.2R3-S2; * 22.3 versions earlier than 22.3R3; * 22.4 versions earlier than 22.4R3; * 23.2 versions earlier than 23.2R1-S2, 23.2R2.

Gravité et risque d'exploitation

CVE-2024-21609 obtient un score CVSS de 7.1/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.29 %, ce qui la place devant 20.9 % des CVE référencées.

Que faire ?

  • Vérifiez si Junos OS (versions <21.2R3-S7, 21.2, <22.1R3-S3, 21.4, <21.3R3-S5, 22.4, 23.2, <22.4R3, 22.2, <20.4R3-S9, 0, 22.1, <23.2R1-S2, 23.2R2, <22.3R3, 21.3, <21.4R3-S4, 22.3, <22.2R3-S2) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE