Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidad en el esquema de permisos en administradores del sistema inquilino en Juniper Networks Junos OS (CVE-2021-0235)

Gravedad CVSS v3.1:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
22/04/2021
Última modificación:
27/04/2021

Descripción

En las Series SRX1500, SRX4100, SRX4200, SRX4600, SRX5000 con dispositivos de las Series SPC2/SPC3, vSRX, que utilizan servicios de inquilino en Juniper Networks Junos OS, debido a un esquema de permisos incorrecto asignado a los administradores del sistema inquilino, un administrador del sistema inquilino puede enviar inadvertidamente su tráfico de red a uno o más inquilinos al mismo tiempo que se modifica la gestión general del tráfico del sistema del dispositivo, lo que afecta a todos los inquilinos y al proveedor de servicios. Además, un inquilino puede recibir inadvertidamente tráfico de otro inquilino. Este problema afecta a: Juniper Networks Junos OS versiones 18.3, 18.3R1 y posteriores en las Series SRX1500, SRX4100, SRX4200, SRX4600, SRX5000 con SPC2; versiones 18.4, 18.4R1 y posteriores en las Series SRX1500, SRX4100, SRX4200, SRX4600, SRX5000 con SPC2/SPC3; versiones 19.1,19.1R1 y versiones posteriores en las Series SRX1500, SRX4100, SRX4200, SRX4600, SRX5000 con SPC2/SPC3; versiones 19.2 anteriores a 19.2R1-S6, 19.2R3-S2 en las Series SRX1500, SRX4100, SRX4200, SRX4600, SRX5000 con SPC2 / SPC3; versiones 19.3 anteriores a 19.3R3-S2 en las Series SRX1500, SRX4100, SRX4200, SRX4600, SRX5000, con SPC2/SPC3; versiones 19.4 anteriores a 19.4R2-S4, 19.4R3-S2 en las Series SRX1500, SRX4100, SRX4200, SRX4600, SRX5000 con SPC2/SPC3; versiones 20.1 anteriores a 20.1R2, 20.1R3 ??en las Series SRX1500, SRX4100, SRX4200, SRX4600, SRX5000 con SPC2/SPC3 vSRX; versiones 20.2 anteriores a 20.2R2-S1, 20.2R3 en las Series SRX1500, SRX4100, SRX4200, SRX4600, SRX5000 con SPC2/SPC3; Series vSRX; versiones 20.3 anteriores a 20.3R1-S2, 20.3R2 en Series SRX1500, SRX4100, SRX4200, SRX4600, SRX5000 con SPC2/SPC3 Series vSRX; versiones 20.4 anteriores a 20.4R1, 20.4R2 en las Series SRX1500, SRX4100, SRX4200, SRX4600, SRX5000 Series con SPC2/SPC3 Series vSRX . Este problema no afecta a Juniper Networks Junos OS versiones anteriores a 18.3R1

Impacto

Vector 3.x
CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:L/I:H/A:L CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.30 ALTA
Vector: CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:L/I:H/A:L

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Ninguno
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Bajo

Puntuación base 3.x
7.30
Gravedad 3.x
ALTA
Vector 2.0
AV:L/AC:L/Au:N/C:P/I:P/A:P CVSS v2.0 Severidad y Métricas:

Puntuación base: 4.60 MEDIA
Vector: AV:L/AC:L/Au:N/C:P/I:P/A:P

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Físico

Puntuación base 2.0
4.60
Gravedad 2.0
MEDIA

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:o:juniper:junos:18.3:r1:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.3:r1-s1:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.3:r1-s2:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.3:r1-s3:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.3:r1-s4:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.3:r1-s5:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.3:r1-s6:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.3:r2:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.3:r2-s1:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.3:r2-s2:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.3:r2-s3:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.3:r2-s4:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.3:r3:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.3:r3-s1:*:*:*:*:*:*
cpe:2.3:o:juniper:junos:18.3:r3-s2:*:*:*:*:*:*

Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página


Referencias a soluciones, herramientas e información