[ Início ]

Resumo

A Juniper divulgou boletins abordam uma ampla gama de vulnerabilidades que afetam o Junos OS, Junos OS Evolved e componentes relacionados, podendo resultar em escalação de privilégios, injeção de comandos em shell, vazamento de memória, crashes de processos críticos (como chassisd, kmd/iked, evo-aftman), e exposição indevida de informações. No total foram liberadas 27 correções de vulnerabilidades, de diversas criticidades.

Entre as falhas mais críticas, destacam-se a CVE-2026-21916 (que permite login como root a partir de uma conta de baixo privilégio), a CVE-2026-33791 (execução arbitrária de comandos como root via CLI), e diversas vulnerabilidades de denial-of-service que podem interromper o tráfego ou a disponibilidade administrativa de roteadores e firewalls das séries MX, QFX e SRX. Também há impactos em componentes auxiliares, como Junos Space, JSI Virtual Lightweight Collector e CTP OS, envolvendo cross-site scripting, credenciais padrão e senhas fracas, reforçando a necessidade de atualização imediata e revisão das políticas de autenticação e filtragem de rede nos dispositivos afetados.

Correção e Mitigação

Todas essas 27 vulnerabilidades já foram corrigidas pela Juniper em versões específicas de Junos OS / Junos OS Evolved e outros produtos relacionados (JSI vLWC, CTP‑OS, Junos Space, etc.).

Para acessar os alertas e informações de correções específicas, acesse o site da Juniper SIRT – Security Bulletins em https://supportportal.juniper.net/s/knowledge. Na página o cliente pode filtrar por “Security Bulletin” / “Security Advisory” e fazer a busca específica, por exemplo, por JSA1078xx (exemplo JSA107819) ou pelo nome da vulnerabilidade específica, consultando a listagem a seguir.

Observação: Apesar dos números de CVE já terem sido reservados, nem todos os CVEs já estão disponíveis no momento da escrita desse material (08/04/2026 17h00m). Assim, pode ser que alguns dos links do NVD listados abaixo não retornem resultados imediatamente.

Lista de Vulnerabilidades – Março 2026

1. JSA107819 – 2026‑04 Security Bulletin
   Em cenário EVPN‑MPLS, o tráfego de rotas ESI (“churn”) causa vazamento de memória no processo l2ald (CVE‑2026‑33780).

   • Link CVE‑NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-33780

2. JSA107807 – 2026‑04 Security Bulletin
   Usuário com baixos privilégios consegue escalar para login como root (CVE‑2026‑21916).

   • Link CVE‑NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-21916

3. JSA107822 – 2026‑04 Security Bulletin
   Vulnerabilidade CVE‑2022‑24805 no net‑SNMP foi corrigida em Junos OS e Junos OS Evolved (CVE‑2022‑24805).

   • Link CVE‑NVD: https://nvd.nist.gov/vuln/detail/CVE-2022-24805

4. JSA107806 – 2026‑04 Security Bulletin
   Em Junos OS Evolved, atacante local autenticado pode obter acesso privilegiado a FPCs (CVE‑2026‑33788).

   • Link CVE‑NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-33788

5. JSA103142 – 2026‑04 Security Bulletin
   Quando existe um script Python “op script” sem assinatura, um usuário local de baixo privilégio pode comprometer o sistema (CVE‑2026‑33793).

   • Link CVE‑NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-33793

6. JSA106019 – 2026‑04 Security Bulletin
   Alta frequência de conexões/desconexões de sessões NetConf causa indisponibilidade de gerenciamento (CVE‑2026‑21919).

   • Link CVE‑NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-21919

7. JSA107875 – 2026‑04 Security Bulletin
   Execução de comandos CLI especificamente formatados permite injeção de shell arbitrária como root (CVE‑2026‑33791).

   • Link CVE‑NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-33791

8. JSA107863 – 2026‑04 Security Bulletin
   Usuário local privilegiado pode obter acesso a um FPC baseado em Linux como root (CVE‑2025‑30650).

   • Link CVE‑NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-30650

9. JSA107850 – 2026‑04 Security Bulletin
   Envio de um pacote BGP específico faz com que as sessões BGP reiniciem, podendo interromper troca de rotas (CVE‑2026‑33797).

   • Link CVE‑NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-33797

10. JSA107866 – 2026‑04 Security Bulletin
    Execução de um comando CLI específico de baixo privilégio expõe informação sensível sem necessidade de escalonamento (CVE‑2026‑33776).

    • Link CVE‑NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-33776

11. JSA106003 – 2026‑04 Security Bulletin
    Em Junos Space, o campo ilpFilter em nLegacy.jsp é vulnerável a XSS refletido (CVE‑2026‑21904).

    • Link CVE‑NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-21904

12. JSA107820 – 2026‑04 Security Bulletin
    Em MX Series, em cenário DHCPv6 específico, o processo jdhcpd aumenta memória continuamente com logout de assinantes (CVE‑2026‑33782).

    • Link CVE‑NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-33782

13. JSA107821 – 2026‑04 Security Bulletin
    Em MX Series, incompatibilidade entre tipo de pacote configurado e recebido gera vazamento de memória em bbe‑smgd (CVE‑2026‑33775).

    • Link CVE‑NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-33775

14. JSA107868 – 2026‑04 Security Bulletin
    Em SRX/MX, recepção de primeiro pacote ISAKMP especificamente malformado faz com que kmd/iked parem, interrompendo VPNs IKE/IPsec (CVE‑2026‑33778).

    • Link CVE‑NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-33778

15. JSA107872 – 2026‑04 Security Bulletin
    Em MX Series, comandos request em cenário JDM/CSDS não verificam autorização adequada, permitindo operações de alto privilégio (CVE‑2026‑33785).

    • Link CVE‑NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-33785

16. JSA107865 – 2026‑04 Security Bulletin
    Em MX Series, firewall filters aplicados à interface lo0. na instância de roteamento padrão não são efetivamente aplicados (CVE‑2026‑33774).

    • Link CVE‑NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-33774

17. JSA103159 – 2026‑04 Security Bulletin
    Em QFX5000/PTX Series, pacotes multicast especificamente formatados fazem evo‑aftmand / evo‑pfemand crasharem e reiniciarem (CVE‑2025‑59969).

    • Link CVE‑NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-59969

18. JSA107870 – 2026‑04 Security Bulletin
    Em PTX Series, com túneis SRTE via PCEP, consultas gRPC específicas fazem evo‑aftman crashar (CVE‑2026‑33783).

    • Link CVE‑NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-33783

19. JSA107823 – 2026‑04 Security Bulletin
    Em SRX Series, verificação de certificado insuficiente na comunicação com SD cloud permite risco de MITM ou servidor não autorizado (CVE‑2026‑33779).

    • Link CVE‑NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-33779

20. JSA107810 – 2026‑04 Security Bulletin
    Em SRX1600, SRX2300 e SRX4300, execução de um comando show específico faz chassisd crashar (CVE‑2026‑33786).

    • Link CVE‑NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-33786

21. JSA107873 – 2026‑04 Security Bulletin
    Em SRX1500, SRX4100, SRX4200 e SRX4600, execução de um comando show específico faz chassisd crashar (CVE‑2026‑33787).

    • Link CVE‑NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-33787

22. JSA107874 – 2026‑04 Security Bulletin
    Em SRX Series, em configuração NAT64, recepção de pacote ICMPv6 malformado específico faz srxpfe crashar e reiniciar (CVE‑2026‑33790).

    • Link CVE‑NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-33790

23. JSA106016 – 2026‑04 Security Bulletin
    No JSI Virtual Lightweight Collector, shell escape permite escalonamento de privilégios para root (CVE‑2026‑21915).

    • Link CVE‑NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-21915

24. JSA107871 – 2026‑04 Security Bulletin
    Em vLWC, a senha padrão não é obrigada a ser alterada, permitindo acesso privilegiado não autorizado (CVE‑2026‑33784).

    • Link CVE‑NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-33784

25. JSA107864 – 2026‑04 Security Bulletin
    No CTP OS, configuração de requisitos de senha não funciona, permitindo uso de senhas fracas (CVE‑2026‑33771).

    • Link CVE‑NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-33771

26. JSA107869 – 2026‑04 Security Bulletin
    Em EX/QFX Series, em cenário VXLAN, pacotes de controle específicos causam vazamento de memória e, eventualmente, parada de tráfego (CVE‑2026‑33781).

    • Link CVE‑NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-33781

27. JSA107815 – 2026‑04 Security Bulletin
    Em EX/QFX Series, se o mesmo filtro de saída for configurado em IRB e interface física, um deles não é aplicado (CVE‑2026‑33773).

    • Link CVE‑NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-33773

Nota de transparência: Essa publicação NÃO utilizou de ferramentas de Inteligência Artificial Generativa para sua escrita, exceto para realização de pesquisa e validação de referências. Os demais o conteúdos foram elaborados e revisados pelo autor.