Juniper corrige en urgence une vulnérabilité de contournement de l’authentification

Juniper a dévoilé, le 11 février, un correctif pour la vulnérabilité référencée CVE-2025-21589. Cette dernière permet de contourner les mécanismes d’authentification pour accéder à des contrôles d’administration sur les équipements concernés.

À ce stade, la CVE-2025-21589 n’apparaît pas encore exploitée activement. Elle affecte les produits Session Smart Routeur, Session Smart Conductor, et WAN Assurance Managed Routeur dans les versions 5.6.7 à 5.6.17, 6.0.8, 6.1 avant 6.1.12-lts, 6.2 avant 6.2.8-lts, et 6.3 avant 6.3.3-r2.

Le score CVSS v3.1 de 9.8 a été attribué à la vulnérabilité, ainsi que le score CVSS v4.0 de 9.3. Avec cela, elle est considérée comme de sévérité critique.

Dans sa note d’information, Juniper recommande de mettre à jour tous les systèmes concernés. Il précise au passage que, « dans le cas d’un déploiement géré par le Conductor, il suffit de mettre à jour uniquement les nœuds du Conductor et la correction sera appliquée automatiquement à tous les routeurs connectés ». 

Car si « les routeurs doivent toujours être mis à niveau vers une version corrigée », ils cesseront d’être concernés par la vulnérabilité « une fois qu’ils seront connectés à un Conductor mis à niveau ». 

La vulnérabilité a déjà été corrigée « automatiquement sur les appareils qui fonctionnent avec WAN Assurance (où la configuration est également managée) et qui sont connectés au Mist Cloud ». 

Après une année 2024 fortement contrastée sur le plan des vulnérabilités critiques, 2025 commence en fanfare. Elle a commencé par une vulnérabilité inédite activement exploitée du côté d’Ivanti Connect Securre, suivie d’une vulnérabilité critique dans les pare-feu SMA 1000 de SonicWall, sans compter deux vulnérabilités de contournement de l’authentification sur les interfaces d’administration, chez Fortinet et Palo Alto. Et encore, cet inventaire n’est que partiel.