Juniper Session Smart Router : 18 CVE corrigées, deux en 9.8 (AVI-1414)

Le CERT-FR a publié le 29 octobre 2026 l'avis CERTFR-2026-AVI-1414, qui relaie le bulletin Juniper JSA112183 du 28 octobre pour Session Smart Router et Session Smart Conductor. L'avis recense 18 CVE. Les impacts retenus par l'ANSSI : exécution de code arbitraire à distance, élévation de privilèges, déni de service à distance, atteinte à l'intégrité et à la confidentialité, et contournement de la politique de sécurité. Le SIRT de Juniper n'a connaissance d'aucune exploitation, et le bulletin indique aucun contournement disponible.

Versions concernées et corrigées

• Affectées : Session Smart Router et Conductor en versions antérieures à 7.0.5, de 7.1.0 à 7.1.6, et de 7.2.0 à 7.2.2.
• Corrigées : 7.0.5, 7.1.7 et 7.2.3 — la première version saine de chaque branche.

Deux failles sont notées CVSS 9.8 : CVE-2026-103406 et CVE-2026-103409. À l'autre bout du spectre, CVE-2026-103390 est une lecture hors limites dans le composant HttpParser provoquant un déni de service via une requête HTTP forgée (score 5.3 côté CNA, VulDB avançant plutôt 7.5 — à vérifier dans JSA112183). L'avis AVI-1414 et le bulletin Juniper énumèrent la totalité des 18 identifiants : CVE-2026-103390 à -103411 (avec quelques numéros non attribués dans l'intervalle) et CVE-2026-106079.

Que faire

1. Inventoriez vos équipements SSR/Conductor et relevez la version exacte servie par chaque branche (7.0.x, 7.1.x, 7.2.x).
2. Appliquez 7.0.5 / 7.1.7 / 7.2.3 selon votre branche. Il n'existe pas de contournement : la mise à jour est la seule mesure.
3. Priorisez les Conductor et les routeurs exposés : un Conductor orchestre la flotte SSR, donc une RCE ou une élévation de privilèges dessus porte sur l'ensemble du maillage.
4. Vérifiez l'exposition de l'interface d'administration et restreignez-la pendant la fenêtre de déploiement.

Pour mettre en perspective

Les équipements SSR de Juniper ont déjà connu une faille critique à fort impact — le contournement d'authentification CVE-2024-2973 (CVSS 10.0), puis CVE-2025-21589 début 2025 — qui a valu des mises en garde répétées des CERT. Un lot de 18 CVE, deux en 9.8 et sans contournement, s'inscrit dans la série des vagues de correctifs sur les équipements de périphérie réseau, cible récurrente une fois un correctif publié et rétro-conçu. Aucune exploitation n'est signalée à ce stade, ce qui laisse une fenêtre pour patcher avant que ce ne soit le cas.