Apstra: 受管设备 SSH 主机密钥验证漏洞

Apstra 的 CVE-2025-13914 漏洞，CVSS 评分为 8.7，对 Apstra 管理的网络构成重大安全风险。此缺陷与 SSH 实现相关，允许未经身份验证的攻击者执行“中间人”（MITM）攻击并冒充管理设备。不充分的 SSH 主机密钥验证允许攻击者拦截并操纵 Apstra 与管理设备之间的通信，从而可能危及数据的机密性和完整性。主要风险是捕获用户凭据，这可能使攻击者获得对网络及其资源的未经授权的访问。

Organizations heavily reliant on Juniper Apstra for network automation and management are particularly at risk. This includes those with complex network topologies and a high volume of SSH connections between Apstra and managed devices. Environments with weak SSH key management practices or limited network segmentation are also more vulnerable.

• linux / server:

journalctl -u apstra -f | grep "SSH_MSG_NEW_SESSION"

• linux / server:

ss -t ssh | grep -i 'established' | awk '{print $5}' | sort | uniq -c

• generic web: Use a network monitoring tool to inspect SSH traffic between Apstra and managed devices for suspicious host key exchanges or unexpected connections.

1. 2026-04-09Disclosure

   disclosure

1. 已保留2025-12-02
2. 发布日期2026-04-09
3. 修改日期2026-04-14
4. EPSS 更新日期2026-04-17

CVE-2025-13914 的主要缓解措施是将 Apstra 升级到 6.1.1 或更高版本。此版本包含修复程序，可加强 SSH 主机密钥验证，从而防止 MITM 攻击。在升级过程中，建议实施额外的安全措施，例如对 Apstra 和管理设备访问使用多因素身份验证 (MFA)。同样重要的是，审查和加强网络安全策略，以检测和响应潜在的入侵尝试。应优先升级，以尽量减少此关键漏洞的暴露窗口。