Junos OS: SRXシリーズ: NAT64構成において、特定の悪意のあるMalformed ICMPv6パケットを受信すると、srxpfeプロセスがクラッシュして再起動する

Junos OS の CVE-2026-33790 は、SRX シリーズ デバイスに影響を与え、攻撃者が不正な ICMPv6 パケットを送信することで、サービス拒否 (DoS) 状態を引き起こすことを可能にします。具体的には、フロー デーモン (flowd) 内の異常または例外的な条件の検証の欠陥を利用するように設計された ICMPv6 パケットは、srxpfe プロセスがクラッシュして再起動する原因となります。これらの悪意のあるパケットの継続的な受信と処理により、srxpfe プロセスはクラッシュと再起動のループに陥り、DoS 状態が永続化されます。この脆弱性は、NAT64 変換中に悪用され、デバイス宛ての不正な ICMPv6 パケットを受信すると、エラーが発生する可能性があります。この脆弱性の重大度は、CVSS スケールで 7.5 と評価されており、脆弱な Junos OS バージョンの SRX シリーズ デバイスを使用している組織にとって重大なリスクを示しています。

Organizations heavily reliant on Juniper SRX Series devices for network security and routing, particularly those utilizing IPv6, are at risk. Environments with exposed IPv6 networks or those lacking robust ICMPv6 filtering are especially vulnerable. Those using NAT64 translation should prioritize mitigation.

• linux / server:

journalctl -u srxpfe -f | grep crash

• linux / server:

ps aux | grep srxpfe | grep -v grep

• linux / server:

ss -t icmp6 -n | grep -i malformed

1. 2026-04-09Disclosure

   disclosure

1. 予約済み2026-03-23
2. 公開日2026-04-09
3. 更新日2026-04-10
4. EPSS 更新日2026-04-17

Juniper Networks は、この脆弱性を軽減するために、提供されているソフトウェア更新を適用することを強くお勧めします。修正されたバージョンは、Junos OS 25.2R1-S2 および 25.2R2 です。これらのバージョンにアップグレードすると、フロー デーモンの検証の欠陥が修正され、srxpfe プロセスがクラッシュするのを防ぎます。直ちに更新が不可能な場合は、不正な ICMPv6 トラフィックをフィルタリングまたはブロックするためのファイアウォール ルールを実装することをお勧めします。システム ログの異常な ICMPv6 トラフィック パターンを監視することも、潜在的な悪用試行を検出して対応するのに役立ちます。ネットワーク インフラストラクチャの継続的な保護のために、Juniper Networks のセキュリティ アドバイザリを定期的に確認し、適用することが重要です。