JVNDB-2025-025152

ジュニパーネットワークスのJunos OSにおける同一生成元ポリシー違反に関する脆弱性

Juniper Networks Junos OSのEX4600シリーズおよびQFX5000シリーズには、十分に保護されていないファイルに存在するオリジン検証エラーの脆弱性があります。この脆弱性により、物理的にデバイスにアクセスできる認証されていない攻撃者がバックドアを作成し、システムを完全に制御できるようになります。デバイスにルートパスワードが設定されていない場合、攻撃者は特定のファイルを改変できます。その内容はデバイスのJunos設定に目に見えない形で追加されます。これにより、実際の運用者が認識しないユーザー、IPアドレスおよびその他の設定を含む任意の構成を追加でき、不正アクセスが可能になります。このエクスプロイトは再起動やゼロイゼーション後も持続します。侵害の指標は、改変された/etc/config/platform-defaults[-flex].confファイルに現れます。そのファイルで予期しない設定文を確認するか、元のJuniperソフトウェアイメージファイルから抽出できる未変更のバージョンと比較してください。抽出手順の詳細についてはJuniperテクニカルアシスタンスセンター（JTAC）にお問い合わせください。信頼された初期設定に戻すには、物理メディアからシステムを再インストールする必要があります。本問題はEX4600シリーズおよびQFX5000シリーズのJunos OSに影響を及ぼし、対象バージョンは21.4R3以前の全バージョンおよび22.2R3-S3以前の22.2バージョンです。

ジュニパーネットワークス

• Junos OS 21.4 未満
• Junos OS 21.4
• Junos OS 22.2

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

ジュニパーネットワークス

• Juniper Support Portal : 2025-10 Security Bulletin: Junos OS: EX4600 Series and QFX5000 Series: An attacker with physical access can open a persistent backdoor (CVE-2025-59957)
• Support : Contact - Support - Juniper Networks

1. 同一生成元ポリシー違反(CWE-346) [その他]

1. CVE-2025-59957

1. National Vulnerability Database (NVD) : CVE-2025-59957
2. 関連文書 : [EX/QFX] Procedure to format install QFX5K/EX4600 device using a USB

• [2026年01月26日]
    掲載