CVE-2020-1606
概要

A path traversal vulnerability in the Juniper Networks Junos OS device may allow an authenticated J-web user to read files with 'world' readable permission and delete files with 'world' writeable permission. This issue does not affect system files that can be accessed only by root user. This issue affects Juniper Networks Junos OS: 12.3 versions prior to 12.3R12-S13; 12.3X48 versions prior to 12.3X48-D85 on SRX Series; 14.1X53 versions prior to 14.1X53-D51; 15.1F6 versions prior to 15.1F6-S13; 15.1 versions prior to 15.1R7-S5; 15.1X49 versions prior to 15.1X49-D180 on SRX Series; 15.1X53 versions prior to 15.1X53-D238 on QFX5200/QFX5110 Series; 16.1 versions prior to 16.1R4-S13, 16.1R7-S5; 16.2 versions prior to 16.2R2-S10; 17.1 versions prior to 17.1R3-S1; 17.2 versions prior to 17.2R1-S9, 17.2R3-S2; 17.3 versions prior to 17.3R2-S5, 17.3R3-S5; 17.4 versions prior to 17.4R2-S9, 17.4R3; 18.1 versions prior to 18.1R3-S8; 18.2 versions prior to 18.2R3; 18.3 versions prior to 18.3R2-S3, 18.3R3; 18.4 versions prior to 18.4R2; 19.1 versions prior to 19.1R1-S4, 19.1R2.

公表日 2020年1月15日18:15
登録日 2021年1月26日11:53
最終更新日 2024年11月21日14:10
CVSS3.1 : HIGH
スコア 8.1
ベクター CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
攻撃元区分(AV) ネットワーク
攻撃条件の複雑さ(AC)
攻撃に必要な特権レベル(PR)
利用者の関与(UI) 不要
影響の想定範囲(S) 変更なし
機密性への影響(C)
完全性への影響(I)
可用性への影響(A) なし
CVSS2.0 : MEDIUM
スコア 6.5
ベクター AV:N/AC:L/Au:S/C:P/I:P/A:P
攻撃元区分(AV) ネットワーク
攻撃条件の複雑さ(AC)
攻撃前の認証要否(Au) 単一
機密性への影響(C)
完全性への影響(I)
可用性への影響(A)
全ての特権を取得 いいえ
ユーザー権限を取得 いいえ
その他の権限を取得 いいえ
ユーザー操作が必要 いいえ
影響を受けるソフトウェアの構成
構成1 以上 以下 より上 未満
cpe:2.3:o:juniper:junos:17.1:r3:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:12.3:r11:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:12.3:r2:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:14.1x53:d45:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:12.3:r9:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:14.1x53:d15:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:14.1x53:d35:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:14.1x53:d10:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:16.1:r1:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:14.1x53:d40:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:14.1x53:d30:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:12.3:r4:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:16.2:r2:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:12.3:r1:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:12.3:r7:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:12.3:r6:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:14.1x53:d25:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1:f6:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:12.3:r12:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:14.1x53:d27:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:14.1x53:d16:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:16.1:r4:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.1:r1:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:16.2:r1:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:12.3:r13:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:16.1:r4-s3:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:12.3:r5:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:12.3:r3:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:16.1:r3:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:14.1x53:d26:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:12.3:r8:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:16.1:r2:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1:f6-s8:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.2:r1-s2:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.2:r3:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:16.1:r5-s4:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:16.1:r6-s1:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:16.1:r7:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:16.2:r2-s5:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.1:r2-s7:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.4:r1:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.4:r2:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:16.1:r4-s9:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1:f6-s3:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:14.1x53:d48:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.1:r3:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1:r7-s1:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.2:r2-s6:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:12.3:r12-s10:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.1:r2:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:16.1:r3-s10:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.2:r1-s7:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1:r7-s2:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1:r7-s3:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.4:r2-s2:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.4:r1-s1:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.2:-:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.2:r2-s1:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.2:r2-s2:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.3:r1-s1:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.2:r1-s4:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.4:r1-s2:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.3:r2:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.3:r1:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.4:r2-s1:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:16.2:r2-s1:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:16.2:r2-s2:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:16.2:r2-s6:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:16.2:r2-s7:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:16.2:r2-s8:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.1:r2-s1:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.1:r2-s2:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.1:r2-s3:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.1:r2-s4:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.1:r2-s5:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.1:r2-s6:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.1:r2-s2:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.4:r1:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.4:-:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.1:r3-s4:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.1:r3-s3:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.1:r3-s2:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.1:-:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.1:r2-s1:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.1:r2-s4:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:16.1:-:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:16.2:-:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.1:-:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.2:-:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:12.3:r12-s8:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:14.1x53:-:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.3:r1-s2:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.3:-:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.4:-:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.1:r2-s9:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.1:r3-s1:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.1:r2-s10:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.4:r1-s7:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:12.3:-:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.4:r1-s4:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.4:r1-s1:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.4:r2-s3:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.4:r2-s4:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.4:r1-s6:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.1:r3-s5:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.3:r1-s3:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.2:r2-s7:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.2:r2-s3:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.2:r2-s4:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:14.1x53:d49:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.2:r3-s1:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.2:r1-s5:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.2:r1-s8:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.4:r1-s2:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:19.1:r1:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:16.2:r2-s9:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:16.1:r7-s3:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:16.1:r7-s4:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.4:r2-s5:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.4:r2-s6:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.4:r2-s7:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.1:r3-s6:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.1:r3-s7:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:19.1:r1-s1:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:19.1:r1-s3:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1:r7-s4:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:16.1:r7-s2:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1:f6-s12:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:12.3:r12-s1:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:12.3:r12-s3:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:12.3:r12-s4:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:12.3:r12-s6:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:12.3:r12-s11:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:12.3:r12-s12:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:16.1:r4-s6:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.3:r2-s1:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.3:r2-s2:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:17.4:r2-s8:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:12.3:r10-s1:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:12.3:r10-s2:*:*:*:*:*:*
構成2 以上 以下 より上 未満
cpe:2.3:o:juniper:junos:12.3x48:d15:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:12.3x48:d25:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:12.3x48:d10:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:12.3x48:d70:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:12.3x48:d75:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:12.3x48:d80:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x49:d150:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x49:d170:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x49:d160:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x49:d60:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x49:d40:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x49:d20:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x49:d10:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x49:d55:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x49:d35:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x49:d45:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x49:d75:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x49:d65:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x49:d50:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x49:d30:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x49:d70:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x49:d80:*:*:*:*:*:*
実行環境
1 cpe:2.3:h:juniper:srx100:-:*:*:*:*:*:*:*
2 cpe:2.3:h:juniper:srx110:-:*:*:*:*:*:*:*
3 cpe:2.3:h:juniper:srx1400:-:*:*:*:*:*:*:*
4 cpe:2.3:h:juniper:srx1500:-:*:*:*:*:*:*:*
5 cpe:2.3:h:juniper:srx210:-:*:*:*:*:*:*:*
6 cpe:2.3:h:juniper:srx220:-:*:*:*:*:*:*:*
7 cpe:2.3:h:juniper:srx240:-:*:*:*:*:*:*:*
8 cpe:2.3:h:juniper:srx300:-:*:*:*:*:*:*:*
9 cpe:2.3:h:juniper:srx320:-:*:*:*:*:*:*:*
10 cpe:2.3:h:juniper:srx340:-:*:*:*:*:*:*:*
11 cpe:2.3:h:juniper:srx3400:-:*:*:*:*:*:*:*
12 cpe:2.3:h:juniper:srx345:-:*:*:*:*:*:*:*
13 cpe:2.3:h:juniper:srx3600:-:*:*:*:*:*:*:*
14 cpe:2.3:h:juniper:srx4100:-:*:*:*:*:*:*:*
15 cpe:2.3:h:juniper:srx4200:-:*:*:*:*:*:*:*
16 cpe:2.3:h:juniper:srx4600:-:*:*:*:*:*:*:*
17 cpe:2.3:h:juniper:srx5400:-:*:*:*:*:*:*:*
18 cpe:2.3:h:juniper:srx550:-:*:*:*:*:*:*:*
19 cpe:2.3:h:juniper:srx5600:-:*:*:*:*:*:*:*
20 cpe:2.3:h:juniper:srx5800:-:*:*:*:*:*:*:*
21 cpe:2.3:h:juniper:srx650:-:*:*:*:*:*:*:*
構成3 以上 以下 より上 未満
cpe:2.3:o:juniper:junos:15.1x53:d40:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x53:d62:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x53:d20:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x53:d30:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x53:d33:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x53:d25:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x53:d63:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x53:d32:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x53:d34:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x53:d210:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x53:d21:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x53:d60:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x53:d45:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x53:d61:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x53:d230:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x53:d65:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x53:d231:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x53:d232:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x53:d235:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x53:d236:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x53:d237:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x53:d234:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x53:d31:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x53:d56:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:15.1x53:d233:*:*:*:*:*:*
実行環境
1 cpe:2.3:h:juniper:qfx5110:-:*:*:*:*:*:*:*
2 cpe:2.3:h:juniper:qfx5200:-:*:*:*:*:*:*:*
関連情報、対策とツール
共通脆弱性一覧

JVN脆弱性情報
Junos OS におけるディレクトリトラバーサルの脆弱性
タイトル Junos OS におけるディレクトリトラバーサルの脆弱性
概要

Junos OS には、ディレクトリトラバーサル (CWE-22) の脆弱性が存在します。 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。 報告者: 三井物産セキュアディレクション株式会社 米山 俊嗣 氏

想定される影響 認証済みの J-Web ユーザによって、サーバ上のファイルを閲覧されたり削除されたりする可能性があります。
対策

[アップデートする] 開発者が提供する情報をもとに、最新版へアップデートしてください。 [ワークアラウンドを実施する] 次のワークアラウンドを実施することで、本脆弱性の影響を軽減することが可能です。  ・J-Web インターフェースへのアクセスを、信頼できるユーザに限定する

公表日 2020年1月10日0:00
登録日 2020年1月10日12:11
最終更新日 2020年1月10日12:11
影響を受けるシステム
ジュニパーネットワークス
Junos OS 12.3R12-S13 より前のバージョン (12.3 系)
Junos OS 12.3X48-D85 より前のバージョン (SRX シリーズ製品に搭載されている 12.3X48 系)
Junos OS 14.1X53-D51 より前のバージョン (14.1X53 系)
Junos OS 15.1F6-S13 より前のバージョン (15.1F6 系)
Junos OS 15.1R7-S5 より前のバージョン (15.1 系)
Junos OS 15.1X49-D180 より前のバージョン (SRX シリーズ製品に搭載されている 15.1X49 系)
Junos OS 15.1X53-D238 より前のバージョン (QFX5200/QFX5110 シリーズ製品に搭載されている 15.1X53 系)
Junos OS 16.1R4-S13, 16.1R7-S5 より前のバージョン (16.1 系)
Junos OS 16.2R2-S10 より前のバージョン (16.2 系)
Junos OS 17.1R3-S1 より前のバージョン (17.1 系)
Junos OS 17.2R1-S9, 17.2R3-S2 より前のバージョン (17.2 系)
Junos OS 17.3R2-S5, 17.3R3-S5 (17.3 系)
Junos OS 17.4R2-S9, 17.4R3 (17.4 系)
Junos OS 18.1R3-S8 より前のバージョン (18.1 系)
Junos OS 18.2R3 より前のバージョン (18.2 系)
Junos OS 18.3R2-S3, 18.3R3 より前のバージョン (18.3 系)
Junos OS 18.4R2 より前のバージョン (18.4 系)
Junos OS 19.1R1-S4, 19.1R2 より前のバージョン (19.1 系)
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
変更履歴
No 変更内容 変更日
1 [2020年01月10日]
  掲載
2020年1月7日15:50