- Aktif istismar
- Yama var
- CWE-473
CVE-2023-36844
Junos OS EX Serisi J-Web'de PHP hatası: Kimlik doğrulaması olmayan saldırgan ortam değişkenlerini kontrol edebiliyor
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 1167 gün
- Kaydı açan
- juniper
ÖzetTürkçe
Juniper Networks Junos OS'un EX Serisi cihazlarında yer alan J-Web bileşenindeki bir PHP harici değişken değiştirme açığı, kimlik doğrulaması yapılmamış ve ağ üzerinden erişebilen bir saldırganın belirli önemli ortam değişkenlerini kontrol etmesine olanak tanır. Hazırlanmış bir istek kullanarak saldırgan belirli PHP ortam değişkenlerini değiştirebilir; bu da bütünlükte kısmi kayba yol açabilir ve diğer açıklarla zincirleme kullanıma imkân verebilir. Sorun, EX Serisi üzerindeki Juniper Networks Junos OS sürümlerinin şu sürümlerini etkiler: 20.4R3-S9 öncesi tüm sürümler; 21.1 sürümleri 21.1R1 ve sonrası; 21.2R3-S7 öncesi 21.2 sürümleri; 21.3R3-S5 öncesi 21.3 sürümleri; 21.4R3-S5 öncesi 21.4 sürümleri; 22.1R3-S4 öncesi 22.1 sürümleri; 22.2R3-S2 öncesi 22.2 sürümleri; 22.3R3-S1 öncesi 22.3 sürümleri; 22.4R2-S2 ve 22.4R3 öncesi 22.4 sürümleri; 23.2R1-S1 ve 23.2R2 öncesi 23.2 sürümleri.
Kaynaktaki açıklama (İngilizce)
A PHP External Variable Modification vulnerability in J-Web of Juniper Networks Junos OS on EX Series allows an unauthenticated, network-based attacker to control certain, important environment variables.
Using a crafted request an attacker is able to modify
certain PHP environment variables leading to partial loss of integrity, which may allow chaining to other vulnerabilities.
This issue affects Juniper Networks Junos OS on EX Series:
* All versions prior to 20.4R3-S9;
* 21.1 versions 21.1R1 and later;
* 21.2 versions prior to 21.2R3-S7;
* 21.3 versions
prior to
21.3R3-S5;
* 21.4 versions
prior to
21.4R3-S5;
* 22.1 versions
prior to
22.1R3-S4;
* 22.2 versions
prior to
22.2R3-S2;
* 22.3 versions
prior to 22.3R3-S1;
* 22.4 versions
prior to
22.4R2-S2, 22.4R3;
* 23.2 versions prior to
23.2R1-S1, 23.2R2.
Üreticinin çözüm notu (İngilizce)
The following software releases have been updated to resolve this specific issue:
20.4R3-S9*, 21.2R3-S7*, 21.3R3-S5*, 21.4R3-S5*, 22.1R3-S4*, 22.2R3-S2, 22.3R3-S1*, 22.4R2-S2*, 22.4R3*, 23.2R1-S1, 23.2R2*, 23.4R1*, and all subsequent releases.
*Pending Publication
Üreticinin geçici önlemi (İngilizce)
Disable J-Web, or limit access to only trusted hosts.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Juniper Networks Junos OS | < 20.4R3-S9 | 20.4R3-S9 |
| ≥ 21.1 | – | |
| ≥ 21.2, < 21.2R3-S6 | 21.2R3-S6 | |
| ≥ 21.3, < 21.3R3-S5 | 21.3R3-S5 | |
| ≥ 21.4, < 21.4R3-S5 | 21.4R3-S5 | |
| ≥ 22.1, < 22.1R3-S4 | 22.1R3-S4 | |
| ≥ 22.2, < 22.2R3-S2 | 22.2R3-S2 | |
| ≥ 22.3, < 22.3R3-S1 | 22.3R3-S1 | |
| ≥ 22.4 | – | |
| ≥ 23.2 | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.