by Haul

주니퍼 네트웍스, Session Smart Router의 심각한 보안 취약점 발견 및 패치 발표

주니퍼 네트웍스(Juniper Networks)가 자체 테스트 과정에서 Session Smart Router(SSR) 장비의 심각한 보안 취약점을 발견하고, 즉시 패치를 발표했습니다. 이 취약점을 악용하면 공격자가 장비를 완전히 장악할 수 있어, 사용자들의 주의가 요구됩니다.

심각도 9.8의 인증 우회 취약점 (CVE-2025-21589)

주니퍼 네트웍스는 보안 공지를 통해 CVE-2025-21589로 명명된 인증 우회 취약점을 공개했습니다. 이 취약점은 심각도 점수 9.8/10으로 매우 높으며, 공격자가 인증 절차를 우회하여 SSR 장비에 대한 완전한 제어 권한을 획득할 수 있도록 합니다. 영향을 받는 장비는 Session Smart Router, Session Smart Conductor, WAN Assurance Managed Router입니다.

영향받는 버전 및 긴급 패치 적용 권고

영향받는 버전은 다음과 같습니다. Session Smart Router: 5.6.7 이전 버전부터 5.6.17, 6.0.8, 6.1 이전 버전부터 6.1.12-lts, 6.2 이전 버전부터 6.2.8-lts, 6.3 이전 버전부터 6.3.3-r2. Session Smart Conductor: 5.6.7 이전 버전부터 5.6.17, 6.0.8, 6.1 이전 버전부터 6.1.12-lts, 6.2 이전 버전부터 6.2.8-lts, 6.3 이전 버전부터 6.3.3-r2. WAN Assurance Managed Routers: 5.6.7 이전 버전부터 5.6.17, 6.0.8, 6.1 이전 버전부터 6.1.12-lts, 6.2 이전 버전부터 6.2.8-lts, 6.3 이전 버전부터 6.3.3-r2. 주니퍼 네트웍스는 해당 취약점에 대한 해결 방법(workaround)이 없으며, 반드시 패치를 적용해야 한다고 강조했습니다. 제공되는 패치는 SSR-5.6.17, SSR-6.1.12-lts, SSR-6.2.8-lts, SSR-6.3.3-r2 및 이후 릴리스입니다.

Conductor 관리 환경에서의 패치 적용 방법

Conductor로 관리되는 환경에서는 Conductor 노드만 업그레이드해도 연결된 모든 라우터에 패치가 자동으로 적용됩니다. 하지만 가능한 한 라우터도 업그레이드하는 것이 좋습니다. 라우터 패치 적용 여부는 Conductor에서 라우터가 "running"(6.2 이전 버전) 또는 "synchronized"(6.3 이상 버전) 상태에 도달했는지 확인하여 알 수 있습니다. WAN Assurance를 통해 Mist Cloud에 연결된 장치는 자동으로 업데이트됩니다. 하지만 라우터도 수동으로 업그레이드하는 것이 권장됩니다.