CVE-2026-103406 (CVSS 9.8): Juniper の AutomatedProvisioner におけるOS コマンドで使用される特殊要素の不適切なニュートラライゼーション脆弱性

THREATINT の CVE リストによると、CVE-2026-103406 は 2026年10月28日に公開[2]された。Juniper がアサイナーで、CVSS スコアは「CRITICAL: 9.8」である。Strix は、NVD の分析[3]がそれを公開した時点では「保留中」であったと指摘している。VulDB によると、この欠陥は Juniper Session Smart Conductor バージョン 7.0.4/7.1.6/7.2.2 まで[4]に影響を与える。また、悪用可能性は容易であると伝えられている[4]こと、および「悪用には認証の形式を必要としない[4]」と述べている。Brandefense は、この CVE が Juniper のセキュリティ情報 JSA112183[5]の一部であり、Session Smart Router と Session Smart Conductor の 18 個の CVE をカバーしていると報告している。Brandefense によると、2 つが CVSS 9.8 を記録：CVE-2026-103409 (Router) および CVE-2026-103406 (Conductor)[5]である。Brandefense はさらに、Juniper がすべてを 7.0.5、7.1.7、7.2.3 で修正した[5]こと、およびセキュリティ情報が「既知の回避策を記載していない[5]」ことを報告している。Brandefense は、Juniper が「独自の製品セキュリティテストまたは研究により問題を発見した[5]」と述べていることを付け加えている。Brandefense は「Juniper SIRT は悪意のある悪用について認識していない[5]」と述べている。また、「18 個の CVE のどれも CISA のカタログに含まれていない[5]」と述べており、これは 10 月 28 日に実施されたチェックに基づいている。OffSeq の Threat Radar では、この欠陥を「悪用されることが知られていない[6]」とリストしている。同社は、オペレータが「Juniper Networks Session Smart Conductor を優先事項として修正する[6]」ことを助言している。