BDU:2020-05756

Опубликовано: 14 окт. 2020

Источник: fstec

CVSS3: 8.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость операционной системы Junos существует из-за непринятия мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, захватить сеанс HTTP/HTTPS целевого пользователя и выполнить административные действия

Вендор

Juniper Networks Inc.

Наименование ПО

JunOS

Версия ПО

до 18.1R3-S1 (JunOS)

до 19.2R2 (JunOS)

до 18.3R2-S4 (JunOS)

до 18.4R2-S5 (JunOS)

до 19.4R2 (JunOS)

до 20.1R1-S2 (JunOS)

до 20.1R2 (JunOS)

до 18.2R3-S5 (JunOS)

до 18.3R3-S2 (JunOS)

до 19.1R2-S2 (JunOS)

до 19.2R1-S5 (JunOS)

до 19.3R3 (JunOS)

до 19.4R1-S3 (JunOS)

до 18.4R3-S2 (JunOS)

до 19.1R3-S1 (JunOS)

до 19.3R2-S4 (JunOS)

Тип ПО

Операционная система

Операционные системы и аппаратные платформы

Juniper Networks Inc. JunOS до 18.1R3-S1

Juniper Networks Inc. JunOS до 19.2R2

Juniper Networks Inc. JunOS до 18.3R2-S4

Juniper Networks Inc. JunOS до 18.4R2-S5

Juniper Networks Inc. JunOS до 19.4R2

Juniper Networks Inc. JunOS до 20.1R1-S2

Juniper Networks Inc. JunOS до 20.1R2

Juniper Networks Inc. JunOS до 18.2R3-S5

Juniper Networks Inc. JunOS до 18.3R3-S2

Juniper Networks Inc. JunOS до 19.1R2-S2

Juniper Networks Inc. JunOS до 19.2R1-S5

Juniper Networks Inc. JunOS до 19.3R3

Juniper Networks Inc. JunOS до 19.4R1-S3

Juniper Networks Inc. JunOS до 18.4R3-S2

Juniper Networks Inc. JunOS до 19.1R3-S1

Juniper Networks Inc. JunOS до 19.3R2-S4

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:

https://kb.juniper.net/InfoCenter/index?page=content&id=JSA11070&cat=SIRT_1&actp=LIST

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2020-1673
CVE

EPSS

Процентиль: 80%

0.01407

Низкий

8.8 High

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2020-1673

CVSS3: 8.8

nvd

больше 5 лет назад

Insufficient Cross-Site Scripting (XSS) protection in Juniper Networks J-Web and web based (HTTP/HTTPS) services allows an unauthenticated attacker to hijack the target user's HTTP/HTTPS session and perform administrative actions on the Junos device as the targeted user. This issue only affects Juniper Networks Junos OS devices with HTTP/HTTPS services enabled such as J-Web, Web Authentication, Dynamic-VPN (DVPN), Firewall Authentication Pass-Through with Web-Redirect, and Zero Touch Provisioning (ZTP). Junos OS devices with HTTP/HTTPS services disabled are not affected. If HTTP/HTTPS services are enabled, the following command will show the httpd processes: user@device> show system processes | match http 5260 - S 0:00.13 /usr/sbin/httpd-gk -N 5797 - I 0:00.10 /usr/sbin/httpd --config /jail/var/etc/httpd.conf In order to successfully exploit this vulnerability, the attacker needs to convince the device administrator to take action such as clicking the crafted URL sent via phishing emai

GHSA-pq48-688x-8p2v

github

больше 3 лет назад