CVE-2026-33784
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 — wyżej niż 36% wszystkich znanych CVE
Streszczenie
Podatność w Juniper Networks Support Insights (JSI) Virtual Lightweight Collector (vLWC) polega na użyciu domyślnego hasła dla konta o wysokich uprawnieniach. Nie jest wymuszana zmiana tego hasła podczas konfiguracji, co umożliwia nieuwierzytelnionemu atakującemu zdalne przejęcie pełnej kontroli nad urządzeniem. Problem dotyczy wszystkich wersji vLWC przed 3.0.94.
Ocena ryzyka
Organizacja narażona jest na całkowite przejęcie kontroli nad urządzeniem vLWC przez nieautoryzowanego atakującego z sieci, co może prowadzić do naruszenia poufności, integralności i dostępności danych oraz dalszych ataków na infrastrukturę.
Rekomendacja
Należy niezwłocznie zaktualizować oprogramowanie vLWC do wersji 3.0.94 lub nowszej oraz wymusić zmianę domyślnego hasła dla konta administracyjnego podczas pierwszego uruchomienia.
Oryginalny opis (angielski, źródło NVD)
A Use of Default Password vulnerability in the Juniper Networks Support Insights (JSI) Virtual Lightweight Collector (vLWC) allows an unauthenticated, network-based attacker to take full control of the device. vLWC software images ship with an initial password for a high privileged account. A change of this password is not enforced during the provisioning of the software, which can make full access to the system by unauthorized actors possible.This issue affects all versions of vLWC before 3.0.94.