Junos OS: Série SRX: Dans une configuration NAT64, la réception d'un paquet ICMPv6 spécifique et malformé provoquera le crash et le redémarrage du processus srxpfe.

La vulnérabilité CVE-2026-33790 dans Junos OS affecte les appareils SRX Series, permettant à un attaquant de provoquer une déni de service (DoS) en envoyant des paquets ICMPv6 malformés. Plus précisément, un paquet ICMPv6 conçu pour exploiter un manque de validation des conditions inhabituelles ou exceptionnelles au sein du démon de flux (flowd) peut provoquer le plantage et le redémarrage du processus srxpfe. La réception et le traitement continus de ces paquets malveillants maintiennent le processus srxpfe dans une boucle de plantage et de redémarrage, perpétuant la condition de DoS. Cette vulnérabilité est exploitée lors de la traduction NAT64, où un paquet ICMPv6 malformé destiné à l'appareil peut déclencher la défaillance. La gravité de la vulnérabilité est notée à 7,5 sur l'échelle CVSS, ce qui indique un risque important pour les organisations utilisant des appareils SRX Series avec des versions vulnérables de Junos OS.

Organizations heavily reliant on Juniper SRX Series devices for network security and routing, particularly those utilizing IPv6, are at risk. Environments with exposed IPv6 networks or those lacking robust ICMPv6 filtering are especially vulnerable. Those using NAT64 translation should prioritize mitigation.

• linux / server:

journalctl -u srxpfe -f | grep crash

• linux / server:

ps aux | grep srxpfe | grep -v grep

• linux / server:

ss -t icmp6 -n | grep -i malformed

1. 2026-04-09Disclosure

   disclosure

1. Réservé2026-03-23
2. Publiée2026-04-09
3. Modifiée2026-04-10
4. EPSS mis à jour2026-04-17

Juniper Networks recommande fortement d'appliquer les mises à jour logicielles fournies pour atténuer cette vulnérabilité. Les versions corrigées sont Junos OS 25.2R1-S2 et 25.2R2. La mise à niveau vers ces versions corrige la carence de validation dans le démon de flux, empêchant le processus srxpfe de planter. Si les mises à jour immédiates ne sont pas possibles, il est recommandé de mettre en œuvre des règles de pare-feu pour filtrer ou bloquer le trafic ICMPv6 malformé. La surveillance des journaux système à la recherche de schémas de trafic ICMPv6 inhabituels peut également aider à détecter et à répondre aux tentatives d'exploitation potentielles. Il est essentiel de revoir et d'appliquer régulièrement les avis de sécurité de Juniper Networks pour une protection continue de l'infrastructure réseau.