CVE-2025-13914 は、Juniper Networks Apstra の SSH 実装における機密鍵交換の認証なし脆弱性です。この脆弱性を悪用すると、攻撃者は中間者攻撃を実行し、Apstra と管理デバイス間の SSH 接続を傍受し、管理デバイスになりすますことが可能になります。影響を受けるバージョンは Apstra 0.0.0 から 6.1.1 までです。 Juniper Networks はバージョン 6.1.1 でこの脆弱性を修正しました。
ApstraのCVE-2025-13914は、CVSSスコア8.7で、Apstraによって管理されるネットワークに重大なセキュリティリスクをもたらします。この欠陥はSSH実装に関連しており、認証されていない攻撃者が「Man-in-the-Middle」（MITM）攻撃を実行し、管理デバイスをなりすますことを可能にします。不十分なSSHホストキー検証により、攻撃者はApstraと管理デバイス間の通信を傍受および操作し、データ機密性と整合性を損なう可能性があります。主なリスクは、ユーザー認証情報の捕捉であり、これにより攻撃者はネットワークとそのリソースへの不正アクセスを得る可能性があります。
Apstraが動作するネットワークにアクセスできる攻撃者は、この脆弱性を悪用できます。攻撃者は、Apstraと管理デバイス間のSSHトラフィックを傍受し、偽のホストキーを提示します。Apstraはこれらのキーを適切に検証せず、攻撃者との接続を確立し、その結果、送信されたデータを傍受および操作できます。この攻撃は、比較的簡単に実行でき、機密情報の不正アクセスやネットワークデバイスの制御など、深刻な結果をもたらす可能性があるため、特に危険です。KEV（Entity AuthenticationなしのKey Exchange）の欠如は状況を悪化させます。
Organizations heavily reliant on Juniper Apstra for network automation and management are particularly at risk. This includes those with complex network topologies and a high volume of SSH connections between Apstra and managed devices. Environments with weak SSH key management practices or limited network segmentation are also more vulnerable.
• linux / server:
journalctl -u apstra -f | grep "SSH_MSG_NEW_SESSION"• linux / server:
ss -t ssh | grep -i 'established' | awk '{print $5}' | sort | uniq -c• generic web: Use a network monitoring tool to inspect SSH traffic between Apstra and managed devices for suspicious host key exchanges or unexpected connections.
disclosure
エクスプロイト状況
EPSS
0.04% (11% パーセンタイル)
CISA SSVC
CVE-2025-13914の主な軽減策は、Apstraをバージョン6.1.1以降にアップグレードすることです。このバージョンには、SSHホストキー検証を強化し、MITM攻撃を防ぐ修正が含まれています。アップグレード中に、Apstraおよび管理デバイスへのアクセスに多要素認証（MFA）などの追加のセキュリティ対策を実装することをお勧めします。また、ネットワークセキュリティポリシーをレビューおよび強化して、潜在的な侵入試行を検出し、対応することも重要です。この重要な脆弱性の暴露期間を最小限に抑えるために、アップグレードを優先する必要があります。
Actualice Apstra a la versión 6.1.1 o posterior para mitigar la vulnerabilidad de validación de la clave del host SSH. Esta actualización corrige la forma en que Apstra valida las claves del host SSH, previniendo ataques de intermediario y protegiendo las credenciales del usuario.
脆弱性分析と重要アラートをメールでお届けします。
MITM攻撃は、攻撃者が2つの当事者間の通信を傍受し、そのうちの1つになりすます場合に発生します。これにより、攻撃者は通信を盗聴、変更、またはブロックできます。
SSHホストキー検証は、接続しているSSHサーバーの真正性を検証するプロセスです。正しいサーバーに接続していることを確認し、偽装者ではないことを確認します。
すぐにアップグレードできない場合は、MFAなどの追加のセキュリティ対策を実装し、ネットワークセキュリティポリシーをレビューしてください。疑わしいアクティビティがないか、ネットワークを積極的に監視してください。
侵入検知システム（IDS）や侵入防止システム（IPS）は、MITM攻撃を検出するのに役立ちます。ネットワークトラフィック分析ツールも使用できます。
Apstra 6.1.1のリリースノートと、National Vulnerability Database（NVD）などのITセキュリティ情報リソースを参照してください。
CVSS ベクトル