製品・ソフトウェアに関する情報
Juniper JUNOS の J-Web インターフェースにおけるクロスサイトスクリプティングの脆弱性
Title Juniper JUNOS の J-Web インターフェースにおけるクロスサイトスクリプティングの脆弱性
Summary

Juniper JUNOS の J-Web インターフェースには、設定プログラムに関連する処理に不備があるため、クロスサイトスクリプティングの脆弱性が存在します。

Possible impacts リモート認証されたユーザにより、以下を介して、任意の Web スクリプトまたは HTML を挿入される可能性があります。 (1) exec プログラムへの JEXEC_MODE_RELAY_OUTPUT アクション内の JEXEC_OUTID パラメータ (2) scripter.php への act パラメータ (3) scripter.php への refresh-time パラメータ (4) scripter.php への ifid パラメータ (5) 設定プログラムへの rollback アクション内の revision パラメータ (6) 監視プログラムへの m[] パラメータ (7) 管理プログラムへの m[] パラメータ (8) イベントプログラムへの m[] パラメータ (9) 設定プログラムへの m[] パラメータ (10) アラームプログラムへの m[] パラメータ (11) デフォルト URI への m[] パラメータ (12) デフォルト URI への browse アクション内の m[] パラメータ (13) 設定プログラムへの https アクション内の wizard-next パラメータ (14) Contact Information パラメータ (15) System Description パラメータ (16) Local Engine ID パラメータ (17) System Location パラメータ (18) System Name Override SNMP パラメータ
Solution

ベンダ情報および参考情報を参照して適切な対策を実施してください。

Publication Date Sept. 30, 2009, midnight
Registration Date Sept. 25, 2012, 5:38 p.m.
Last Update Sept. 25, 2012, 5:38 p.m.
CVSS2.0 : 注意
Score 3.5
Vector AV:N/AC:M/Au:S/C:N/I:P/A:N
Affected System
ジュニパーネットワークス
Junos OS 8.5R1.14
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
No Changed Details Date of change
0 [2012年09月25日]
  掲載
Feb. 17, 2018, 10:37 a.m.

NVD Vulnerability Information
CVE-2009-3487
Summary

Multiple cross-site scripting (XSS) vulnerabilities in the J-Web interface in Juniper JUNOS 8.5R1.14 allow remote authenticated users to inject arbitrary web script or HTML via (1) the JEXEC_OUTID parameter in a JEXEC_MODE_RELAY_OUTPUT action to the jexec program; the (2) act, (3) refresh-time, or (4) ifid parameter to scripter.php; (5) the revision parameter in a rollback action to the configuration program; the m[] parameter to the (6) monitor, (7) manage, (8) events, (9) configuration, or (10) alarms program; (11) the m[] parameter to the default URI; (12) the m[] parameter in a browse action to the default URI; (13) the wizard-next parameter in an https action to the configuration program; or the (14) Contact Information, (15) System Description, (16) Local Engine ID, (17) System Location, or (18) System Name Override SNMP parameter, related to the configuration program.

Publication Date Oct. 1, 2009, 12:30 a.m.
Registration Date Jan. 29, 2021, 1:23 p.m.
Last Update Oct. 2, 2009, 1 p.m.
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:o:juniper:junos:8.5:r1.14:*:*:*:*:*:*
Related information, measures and tools
Common Vulnerabilities List