An Incorrect Initialization of Resource vulnerability in the Internal Device Manager (IDM) of Juniper Networks Junos OS on EX4000 models allows an unauthenticated, network-based attacker to cause a Denial-of-Service (DoS).
On EX4000 models with 48 ports (EX4000-48T, EX4000-48P, EX4000-48MP) a high volume of traffic destined to the device will cause an FXPC crash and restart, which leads to a complete service outage until the device has automatically restarted.
The following reboot reason can be seen in the output of 'show chassis routing-engine' and as a log message:
reason=0x4000002 reason_string=0x4000002:watchdog + panic with core dump
This issue affects Junos OS on EX4000-48T, EX4000-48P and EX4000-48MP:
* 24.4 versions before 24.4R2,
* 25.2 versions before 25.2R1-S2, 25.2R2.
This issue does not affect versions before 24.4R1 as the first Junos OS version for the EX4000 models was 24.4R1.
A resource initialization vulnerability in Juniper Networks Junos OS on EX4000 48-port models allows unauthenticated network-based attackers to trigger a Denial-of-Service by sending high-volume traffic, causing FXPC crashes and complete service outages. Affected versions include Junos 24.4 before 24.4R2 and 25.2 before 25.2R1-S2/25.2R2. While no public exploit exists, the attack requires only network access and causes immediate operational disruption.
IMMEDIATE ACTIONS:
1. Identify all EX4000-48T, EX4000-48P, and EX4000-48MP devices in your environment running Junos 24.4 (before 24.4R2) or 25.2 (before 25.2R1-S2 or 25.2R2)
2. Implement network-based rate limiting and traffic filtering at upstream devices to restrict high-volume traffic destined to affected switches
3. Enable DDoS mitigation policies on border routers/firewalls to drop suspicious high-volume traffic patterns
4. Implement access control lists (ACLs) to restrict traffic destined to management interfaces
PATCHING GUIDANCE:
1. Upgrade immediately to Junos 24.4R2 or later for 24.4 branch devices
2. Upgrade to Junos 25.2R1-S2, 25.2R2, or later for 25.2 branch devices
3. Schedule maintenance windows during low-traffic periods to minimize business impact
4. Test patches in lab environment before production deployment
COMPENSATING CONTROLS (if immediate patching not possible):
1. Deploy traffic shaping policies limiting ingress traffic rates to affected devices
2. Implement strict ingress filtering (BCP 38/RFC 2827) at network perimeter
3. Configure SNMP rate limiting and disable unnecessary services
4. Monitor 'show chassis routing-engine' output for watchdog panic messages (reason=0x4000002)
5. Implement automated failover to redundant switches if available
DETECTION RULES:
1. Monitor for sudden FXPC restarts with watchdog panic (reason=0x4000002) in syslog
2. Alert on sustained high-volume traffic destined to EX4000 management IP addresses
3. Track device uptime anomalies and unexpected reboots
4. Monitor CPU and memory utilization spikes preceding crashes
5. Implement NetFlow/sFlow monitoring to detect traffic anomalies
الإجراءات الفورية:
1. حدد جميع أجهزة EX4000-48T و EX4000-48P و EX4000-48MP في بيئتك التي تعمل بـ Junos 24.4 (قبل 24.4R2) أو 25.2 (قبل 25.2R1-S2 أو 25.2R2)
2. طبق تحديد معدل حركة المرور والتصفية على الأجهزة العلوية لتقييد حركة المرور عالية الحجم الموجهة للمفاتيح المتأثرة
3. فعّل سياسات التخفيف من هجمات DDoS على موجهات الحدود/جدران الحماية لإسقاط أنماط حركة المرور المريبة
4. طبق قوائم التحكم في الوصول (ACLs) لتقييد حركة المرور الموجهة لواجهات الإدارة
إرشادات التصحيح:
1. قم بالترقية فوراً إلى Junos 24.4R2 أو إصدار أحدث لأجهزة فرع 24.4
2. قم بالترقية إلى Junos 25.2R1-S2 أو 25.2R2 أو إصدار أحدث لأجهزة فرع 25.2
3. جدول نوافذ الصيانة خلال فترات حركة المرور المنخفضة
4. اختبر التصحيحات في بيئة المختبر قبل النشر في الإنتاج
الضوابط البديلة (إذا لم يكن التصحيح الفوري ممكناً):
1. نشر سياسات تشكيل حركة المرور لتحديد معدلات حركة المرور الواردة للأجهزة المتأثرة
2. طبق التصفية الصارمة للدخول (BCP 38/RFC 2827) على محيط الشبكة
3. كوّن تحديد معدل SNMP وعطّل الخدمات غير الضرورية
4. راقب مخرجات 'show chassis routing-engine' للبحث عن رسائل ذعر watchdog (reason=0x4000002)
5. طبق الإجراء الفوري التلقائي على المفاتيح المكررة إن أمكن
قواعد الكشف:
1. راقب إعادة تشغيل FXPC المفاجئة مع ذعر watchdog (reason=0x4000002) في syslog
2. أصدر تنبيهات لحركة المرور عالية الحجم المستمرة الموجهة لعناوين IP إدارة EX4000
3. تتبع شذوذ وقت التشغيل وإعادة التشغيل غير المتوقعة
4. راقب ارتفاعات استخدام CPU والذاكرة التي تسبق الأعطال
5. طبق مراقبة NetFlow/sFlow للكشف عن شذوذ حركة المرور