S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 20 avril 2021
N° CERTFR-2021-AVI-290
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Multiples vulnérabilités dans les produits Juniper

Gestion du document

Référence CERTFR-2021-AVI-290
Titre Multiples vulnérabilités dans les produits Juniper
Date de la première version20 avril 2021
Date de la dernière version20 avril 2021
Source(s) Bulletin de sécurité Juniper JSA11127 du 14 avril 2021
Bulletin de sécurité Juniper JSA11128 du 14 avril 2021
Bulletin de sécurité Juniper JSA11129 du 14 avril 2021
Bulletin de sécurité Juniper JSA11130 du 14 avril 2021
Bulletin de sécurité Juniper JSA11131 du 14 avril 2021
Bulletin de sécurité Juniper JSA11132 du 14 avril 2021
Bulletin de sécurité Juniper JSA11133 du 14 avril 2021
Bulletin de sécurité Juniper JSA11134 du 14 avril 2021
Bulletin de sécurité Juniper JSA11136 du 14 avril 2021
Bulletin de sécurité Juniper JSA11137 du 14 avril 2021
Bulletin de sécurité Juniper JSA11138 du 14 avril 2021
Bulletin de sécurité Juniper JSA11141 du 14 avril 2021
Bulletin de sécurité Juniper JSA11142 du 14 avril 2021
Bulletin de sécurité Juniper JSA11143 du 14 avril 2021
Bulletin de sécurité Juniper JSA11144 du 14 avril 2021
Bulletin de sécurité Juniper JSA11145 du 14 avril 2021
Bulletin de sécurité Juniper JSA11146 du 14 avril 2021
Bulletin de sécurité Juniper JSA11147 du 14 avril 2021
Bulletin de sécurité Juniper JSA11150 du 14 avril 2021
Bulletin de sécurité Juniper JSA11151 du 14 avril 2021
Bulletin de sécurité Juniper JSA11152 du 14 avril 2021
Bulletin de sécurité Juniper JSA11153 du 14 avril 2021
Bulletin de sécurité Juniper JSA11154 du 14 avril 2021
Bulletin de sécurité Juniper JSA11155 du 14 avril 2021
Bulletin de sécurité Juniper JSA11156 du 14 avril 2021
Bulletin de sécurité Juniper JSA11157 du 14 avril 2021
Bulletin de sécurité Juniper JSA11158 du 14 avril 2021
Bulletin de sécurité Juniper JSA11159 du 14 avril 2021
Bulletin de sécurité Juniper JSA11160 du 14 avril 2021
Bulletin de sécurité Juniper JSA11162 du 14 avril 2021
Bulletin de sécurité Juniper JSA11163 du 14 avril 2021
Bulletin de sécurité Juniper JSA11164 du 14 avril 2021
Bulletin de sécurité Juniper JSA11166 du 14 avril 2021
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Atteinte à la confidentialité des données
  • Contournement de la politique de sécurité
  • Déni de service à distance
  • Exécution de code arbitraire à distance
  • Injection de code indirecte à distance (XSS)
  • Non spécifié par l'éditeur
  • Élévation de privilèges

Systèmes affectés

  • Junos OS versions antérieures à 12.3R12-S15, 12.3R12-S17, 12.3X48-D105, 12.3X48-D95, 14.1X53-D49, 15.1R7-S6, 15.1R7-S8, 15.1R7-S9, 15.1X49-D190, 15.1X49-D191, 15.1X49-D200, 15.1X49-D230, 15.1X49-D240, 15.1X53-D592, 16.1R7-S7, 16.1R7-S8, 16.1R8, 16.2R2-S11, 16.2R3, 17.1R2-S11, 17.1R2-S12, 17.1R3, 17.1R3-S2, 17.2R2-S8, 17.2R3-S3, 17.2R3-S4, 17.3R2-S5, 17.3R3-S10, 17.3R3-S11, 17.3R3-S7, 17.3R3-S8, 17.3R3-S9, 17.4R2-S10, 17.4R2-S12, 17.4R2-S13, 17.4R2-S6, 17.4R2-S9, 17.4R3, 17.4R3-S2, 17.4R3-S3, 17.4R3-S4, 17.4R3-S5, 18.1R3-S10, 18.1R3-S11, 18.1R3-S12, 18.1R3-S13, 18.1R3-S5, 18.1R3-S7, 18.1R3-S9, 18.2R2-S6, 18.2R2-S7, 18.2R2-S8, 18.2R3, 18.2R3-S1, 18.2R3-S3, 18.2R3-S5, 18.2R3-S6, 18.2R3-S7, 18.2R3-S8, 18.3R1-S7, 18.3R2-S3, 18.3R2-S4, 18.3R3, 18.3R3-S1, 18.3R3-S2, 18.3R3-S3, 18.3R3-S4, 18.3R3-S5, 18.4R1-S5, 18.4R1-S6, 18.4R1-S7, 18.4R1-S8, 18.4R2, 18.4R2-S3, 18.4R2-S4, 18.4R2-S5, 18.4R2-S6, 18.4R2-S7, 18.4R2-S8, 18.4R3, 18.4R3-S1, 18.4R3-S2, 18.4R3-S3, 18.4R3-S4, 18.4R3-S5, 18.4R3-S6, 18.4R3-S7, 19.1R1, 19.1R1-S3, 19.1R1-S4, 19.1R1-S5, 19.1R2, 19.1R2-S1, 19.1R2-S2, 19.1R3, 19.1R3-S2, 19.1R3-S3, 19.1R3-S4, 19.2R1, 19.2R1-S1, 19.2R1-S3, 19.2R1-S4, 19.2R1-S5, 19.2R1-S6, 19.2R2, 19.2R3, 19.2R3-S1, 19.2R3-S2, 19.3R1, 19.3R2, 19.3R2-S3, 19.3R2-S4, 19.3R2-S5, 19.3R3, 19.3R3-S1, 19.3R3-S2, 19.4R1, 19.4R1-S1, 19.4R1-S3, 19.4R2, 19.4R2-S2, 19.4R2-S4, 19.4R3, 19.4R3-S1, 19.4R3-S2, 20.1R1, 20.1R1-S1, 20.1R1-S2, 20.1R1-S3, 20.1R2, 20.1R2-S1, 20.1R3, 20.2R1, 20.2R1-S1, 20.2R1-S2, 20.2R2, 20.2R2-S1, 20.2R2-S2, 20.2R2-S3, 20.2R3, 20.3R1, 20.3R1-S1, 20.3R1-S2, 20.3R2, 20.3R3, 20.4R1, 20.4R1-S1, 20.4R2 et 21.1R1
  • Junos OS Evolved versions antérieures à 19.2R2-EVO, 19.4R2-EVO, 20.1R1-EVO, 20.3R2-EVO, 20.4R1-EVO, 20.4R2-EVO et 21.1R1-EVO
  • Paragon Active Assurance Control Center versions antérieures à 2.35.6, 2.36.2 et 3.0.0
  • AppFormix versions antérieures à 3.1.22, 3.2.14 et 3.3.0

Les vulnérabilités CVE-2021-0248 (score CVSSv3 : 10, https://kb.juniper.net/InfoCenter/index?page=content&id=JSA11141&cat=SIRT_1&actp=LIST) et CVE-2021-0254 (score CVSSv3 : 9.8, https://kb.juniper.net/InfoCenter/index?page=content&id=JSA11147&cat=SIRT_1&actp=LIST) sont les plus critiques de ce présent avis.

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Juniper. Certaines d'entre elles permettent à un attaquant de provoquer un problème de sécurité non spécifié par l'éditeur, une exécution de code arbitraire à distance et un déni de service à distance.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 20 avril 2021
    Version initiale