Le 28 octobre 2026, NVD a publié deux CVE Juniper Networks notées 9.8 par Juniper, toutes deux liées à la gamme Session Smart : CVE-2026-103409 dans le Session Smart Router et CVE-2026-103406 dans le Session Smart Conductor, la console qui pilote les routeurs. Les deux mènent à des privilèges maximaux sans compte.
Le point intéressant : elles visent toutes les deux la phase de mise en service. L'une n'existe qu'avant l'onboarding d'un routeur, l'autre se trouve dans le provisionnement automatique du Conductor.
| CVE | Produit | Classe | CVSS 3.1 | Vecteur | Publication NVD |
|---|---|---|---|---|---|
| CVE-2026-103409 | Session Smart Router | Authentification manquante (CWE-306) | 9.8 | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H | 2026-10-28 |
| CVE-2026-103406 | Session Smart Conductor | Injection de commandes OS (CWE-78) | 9.8 | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H | 2026-10-28 |
Les scores sont ceux de Juniper (CNA). NVD les a au statut Awaiting Analysis : pas encore de score NVD ni de configurations CPE, donc pas de liste de versions affectées dans NVD. La seule source pour les versions concernées et corrigées est le bulletin Juniper JSA112183, référencé par les deux CVE. Aucune n'est au CISA KEV à la date de rédaction.
CVE-2026-103409 : le routeur pas encore onboardé
Un endpoint non sécurisé qui tourne en root sur le Session Smart Router accepte des paramètres d'URL forgés sans authentification. Un attaquant réseau peut ainsi obtenir des privilèges d'administration.
La condition est précise : selon Juniper, la faille n'est exploitable qu'avant l'onboarding de l'équipement sur Mist ou sur Conductor. Une fois onboardé, elle ne l'est plus.
Ce que ça implique concrètement :
- un routeur en production, déjà rattaché à Mist ou à un Conductor, n'est pas exposé à cette CVE d'après la description ;
- la fenêtre de risque, c'est le routeur fraîchement déballé ou réinitialisé, branché sur un réseau avant d'avoir été rattaché. En déploiement SD-WAN, cette étape se fait souvent sur site, parfois sur un lien Internet direct ;
- un équipement resté bloqué à mi-chemin du provisionnement (onboarding échoué, site jamais terminé) reste exploitable tant qu'il n'a pas été rattaché. C'est une déduction de la description, pas une information du bulletin.
CVE-2026-103406 : le provisionnement du Conductor
Dans le composant AutomatedProvisioner du Session Smart Conductor, un identifiant de minion salt forgé permet à un attaquant distant d'exécuter des commandes arbitraires en root. Classe : injection de commandes OS.
Le terme « salt minion » renvoie à l'architecture de SaltStack, où chaque équipement géré (minion) s'annonce auprès d'un maître avec un identifiant. On peut en déduire que l'identifiant annoncé par un équipement est réutilisé dans une commande système sans neutralisation, mais NVD ne détaille pas le chemin ni les prérequis réseau : je n'irai pas plus loin.
L'enjeu est d'un autre ordre que pour un routeur isolé. Le Conductor administre toute la flotte : root sur le Conductor, c'est potentiellement la main sur la configuration de chaque site qu'il pilote.
Détection
- Inventaire : quels Session Smart Router ne sont pas onboardés aujourd'hui (stock, sites en cours, équipements réinitialisés) et sur quel réseau sont-ils branchés ?
- Conductor : nouveaux minions ou identifiants inattendus, en particulier contenant des caractères spéciaux
- Journaux système du Conductor : processus lancés par le provisionnement qui ne correspondent pas à une opération planifiée
- Comptes et configuration : comptes d'administration créés ou modifiés hors changement, configurations poussées sans ticket
- Flux réseau du Conductor vers des destinations inhabituelles
Pour le reste de l'actualité Juniper ce mois-ci, voir notre article sur CVE-2026-101950 et CVE-2026-102178 dans Junos OS.
Mitigation
- Lire JSA112183 et appliquer les versions corrigées qu'il indique, sur les routeurs comme sur le Conductor.
- Onboarder un routeur sur un réseau maîtrisé : pas de mise en service sur un lien Internet ouvert, et le moins de temps possible entre la mise sous tension et le rattachement à Mist ou au Conductor.
- Ne pas laisser d'équipement non onboardé allumé et joignable : stock, maquettes, sites abandonnés en cours de route.
- Restreindre l'accès réseau au Conductor, et en particulier à ses services de provisionnement, aux seuls équipements et réseaux de gestion attendus.
- Mettre à jour les images utilisées pour préparer les nouveaux routeurs, pour que les prochains déploiements partent d'une version corrigée.
Pourquoi surveiller en continu ton parc réseau
Ces deux CVE n'ont ni score NVD ni liste de versions dans NVD au moment où elles sortent : un outil qui ne s'appuie que sur les CPE ne les voit pas encore. Le Conductor, lui, est un équipement unique qui tient toute la flotte, et on oublie souvent qu'il a sa propre version à suivre.
Avec cveo.tech, déclare tes routeurs et ta console Session Smart avec leur version et reçois une alerte dès qu'une CVE les concerne, y compris avant l'analyse NVD.