CVE-2026-103406: Esecuzione comando in Juniper Conductor

Juniper Session Smart Conductor: esecuzione di comandi come root via salt minion ID. CVSS 9,8 critical.

CVE-2026-103406 è una vulnerabilità di Improper Neutralization of Special Elements utilizzata in comando OS all'interno di AutomatedProvisioner in Juniper Networks Session Smart Conductor. Un attaccante remoto può eseguire comandi arbitrari con privilegi root mediante l'invio di un salt minion ID malformato attraverso i meccanismi di provisioning.

La vulnerabilità ha CVSS 9,8 ed è classificata come critical. È stata pubblicata sul NVD il 28 ottobre 2026. I segnali su X/Twitter mostrano 4 post nelle ultime 24 ore confermando consapevolezza della minaccia e riportando CVSS 9,8, coerente con i dati ufficiali. Non sono documentati exploit pubblici nei repository GitHub al momento.

Controllare immediatamente se Session Smart Conductor è presente nelle infrastrutture di rete. Verificare la documentazione Juniper Networks per patch di correzione e applicarle tempestivamente. Nel frattempo, isolare o segmentare i sistemi Conductor se possibile. I team di rete devono contattare il supporto Juniper per l'ETA della correzione.

Session Smart Conductor è un componente critico negli ambienti Juniper Networks per il provisioning e la gestione della rete. L'accesso non autenticato con esecuzione come root rappresenta un rischio immediato gravissimo, capace di compromettere interi segmenti infrastrutturali.

In sintesi

Cosa: Improper Neutralization of Special Elements in OS Command in AutomatedProvisioner di Juniper Networks Session Smart Conductor. Esecuzione comandi arbitrari via salt minion ID malformato.
Gravità: CVSS 9,8 (critical). Esecuzione comando remota non autenticata con privilegi root.
Versioni interessate: Non riportato nella documentazione ufficiale NVD.
Correzione: Non riportato. Contattare Juniper Networks per disponibilità e timeline della patch.
Stato: Pubblicato NVD il 28 ottobre 2026. Exploit pubblico non documentato nei dati. Consapevolezza attiva su X/Twitter (4 post ultime 24 ore).
Azione: Identificare istanze Session Smart Conductor in uso. Contattare fornitore Juniper per patch urgente. Segmentare/isolare sistemi fino a correzione. Applicare patch immediatamente alla release.

Fonti: NVD, CVE-2026-103406

← Tutti gli articoli