A Buffer Copy without Checking Size of Input ('Classic Buffer Overflow') vulnerability in the advanced forwarding toolkit (evo-aftmand/evo-pfemand) of Juniper Networks Junos OS Evolved on PTX Series or QFX5000 Series allows an unauthenticated, adjacent attacker to cause a Denial of Service (DoS).An attacker sending crafted multicast packets will cause line cards running evo-aftmand/evo-pfemand to crash and restart or non-line card devices to crash and restart. Continued receipt and processing of these packets will sustain the Denial of Service (DoS) condition.
This issue affects Junos OS Evolved PTX Series:
* All versions before 22.4R3-S8-EVO,
* from 23.2 before 23.2R2-S5-EVO,
* from 23.4 before 23.4R2-EVO,
* from 24.2 before 24.2R2-EVO,
* from 24.4 before 24.4R2-EVO.
This issue affects Junos OS Evolved on QFX5000 Series:
* 22.2-EVO version before 22.2R3-S7-EVO,
* 22.4-EVO version before 22.4R3-S7-EVO,
* 23.2-EVO versions before 23.2R2-S4-EVO,
* 23.4-EVO versions before 23.4R2-S5-EVO,
* 24.2-EVO versions before 24.2R2-S1-EVO,
* 24.4-EVO versions before 24.4R1-S3-EVO, 24.4R2-EVO.
This issue does not affect Junos OS Evolved on QFX5000 Series versions before: 21.2R2-S1-EVO, 21.2R3-EVO, 21.3R2-EVO, 21.4R1-EVO, and 22.1R1-EVO.
CVE-2025-59969 is a buffer overflow vulnerability in Juniper Networks Junos OS Evolved affecting PTX and QFX5000 series devices. An unauthenticated adjacent attacker can trigger a Denial of Service by sending crafted multicast packets, causing line cards or devices to crash and restart repeatedly. While currently no public exploit exists, the vulnerability requires only network adjacency and can sustain DoS conditions through continued packet transmission.
IMMEDIATE ACTIONS:
1. Identify all Juniper PTX and QFX5000 Series devices running affected Junos OS Evolved versions in your environment
2. Implement network segmentation to restrict multicast traffic from untrusted adjacent networks
3. Enable multicast rate limiting and ingress filtering on affected devices
4. Monitor device CPU, memory, and restart logs for anomalous behavior
PATCHING GUIDANCE:
1. For PTX Series: Upgrade to 22.4R3-S8-EVO or later, 23.2R2-S5-EVO or later, 23.4R2-EVO or later, 24.2R2-EVO or later, or 24.4R2-EVO or later
2. For QFX5000 Series: Upgrade to 22.2R3-S7-EVO, 22.4R3-S7-EVO, 23.2R2-S4-EVO, 23.4R2-S5-EVO, 24.2R2-S1-EVO, 24.4R1-S3-EVO, or 24.4R2-EVO
3. Schedule maintenance windows for device upgrades with minimal business impact
4. Test patches in lab environment before production deployment
COMPENSATING CONTROLS (if patching delayed):
1. Implement strict ACLs to block multicast traffic from untrusted sources
2. Configure multicast group filtering to allow only required groups
3. Deploy network-based DoS mitigation (traffic scrubbing)
4. Establish automated alerting for device restarts and high CPU utilization
5. Maintain hot-standby devices for rapid failover
DETECTION RULES:
1. Monitor for unexpected device restarts or line card failures
2. Alert on sustained high CPU utilization on evo-aftmand/evo-pfemand processes
3. Track multicast packet anomalies (unusual source IPs, malformed packets)
4. Log and analyze device crash dumps for buffer overflow signatures
5. Implement NetFlow/sFlow monitoring for multicast traffic pattern analysis
الإجراءات الفورية:
1. تحديد جميع أجهزة Juniper PTX و QFX5000 Series التي تعمل بإصدارات Junos OS Evolved المتأثرة في بيئتك
2. تنفيذ تقسيم الشبكة لتقييد حركة البث المتعدد من الشبكات المجاورة غير الموثوقة
3. تفعيل تحديد معدل البث المتعدد وتصفية الدخول على الأجهزة المتأثرة
4. مراقبة سجلات CPU والذاكرة وإعادة التشغيل للأجهزة للكشف عن السلوك الشاذ
إرشادات التصحيح:
1. لسلسلة PTX: الترقية إلى 22.4R3-S8-EVO أو أحدث، 23.2R2-S5-EVO أو أحدث، 23.4R2-EVO أو أحدث، 24.2R2-EVO أو أحدث، أو 24.4R2-EVO أو أحدث
2. لسلسلة QFX5000: الترقية إلى 22.2R3-S7-EVO أو 22.4R3-S7-EVO أو 23.2R2-S4-EVO أو 23.4R2-S5-EVO أو 24.2R2-S1-EVO أو 24.4R1-S3-EVO أو 24.4R2-EVO
3. جدولة نوافذ الصيانة لترقية الأجهزة بأقل تأثير على الأعمال
4. اختبار التصحيحات في بيئة المختبر قبل نشرها في الإنتاج
الضوابط البديلة (إذا تأخر التصحيح):
1. تنفيذ قوائم التحكم في الوصول الصارمة لحظر حركة البث المتعدد من المصادر غير الموثوقة
2. تكوين تصفية مجموعات البث المتعدد للسماح فقط بالمجموعات المطلوبة
3. نشر تخفيف رفض الخدمة القائم على الشبكة (تنظيف حركة المرور)
4. إنشاء تنبيهات آلية لإعادة تشغيل الأجهزة واستخدام CPU العالي
5. الحفاظ على أجهزة احتياطية نشطة للفشل السريع
قواعد الكشف:
1. مراقبة إعادة تشغيل الأجهزة غير المتوقعة أو فشل بطاقات الخطوط
2. التنبيه على استخدام CPU المرتفع المستمر على عمليات evo-aftmand/evo-pfemand
3. تتبع شذوذ حزم البث المتعدد (عناوين IP مصدر غير عادية، حزم مشوهة)
4. تسجيل وتحليل تفريغات تعطل الأجهزة للتوقيعات المتعلقة بتجاوز المخزن المؤقت
5. تنفيذ مراقبة NetFlow/sFlow لتحليل أنماط حركة البث المتعدد