Vulnérabilités Juniper activement exploitées (KEV)

CVE-2015-7755 — Juniper ScreenOS : vulnérabilité d'authentification incorrecte Critique

• Produit : Juniper ScreenOS
• Ajoutée au catalogue : 2 octobre 2025
• Échéance CISA : 23 octobre 2025
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-287
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 61 %

Juniper ScreenOS contient une vulnérabilité d'authentification incorrecte qui pourrait permettre un accès administratif à distance non autorisé au dispositif.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · supportportal.juniper.net

Fiche détaillée : versions, références, chronologie →

CVE-2025-21590 — Juniper Junos OS : vulnérabilité d'isolation ou de compartimentation incorrecte

• Produit : Juniper Junos OS
• Ajoutée au catalogue : 13 mars 2025
• Échéance CISA : 3 avril 2025
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-653
• Gravité : CVSS 6,7 (moyenne)
• Probabilité d’exploitation (EPSS) : 2 %

Juniper Junos OS contient une vulnérabilité d'isolation ou de compartimentation incorrecte. Cette vulnérabilité pourrait permettre à un attaquant local disposant de privilèges élevés d'injecter du code arbitraire.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · supportportal.juniper.net

CVE-2023-36851 — Juniper Junos OS SRX Series : absence d'authentification pour une fonction critique

• Produit : Juniper Junos OS
• Ajoutée au catalogue : 13 novembre 2023
• Échéance CISA : 17 novembre 2023
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-306
• Gravité : CVSS 5,3 (moyenne)
• Probabilité d’exploitation (EPSS) : 1 %

Juniper Junos OS sur la série SRX contient une vulnérabilité d'absence d'authentification pour une fonction critique qui permet à un attaquant basé sur le réseau et non authentifié de causer un impact limité sur l'intégrité du système de fichiers. Avec une requête spécifique à webauth_operation.php qui ne nécessite pas d'authentification, un attaquant est en mesure de téléverser des fichiers arbitraires via J-Web, entraînant une perte d'intégrité pour une partie du système de fichiers, ce qui peut permettre de chaîner vers d'autres vulnérabilités.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · supportportal.juniper.net

CVE-2023-36847 — Juniper Junos OS EX Series : absence d'authentification pour une fonction critique

• Produit : Juniper Junos OS
• Ajoutée au catalogue : 13 novembre 2023
• Échéance CISA : 17 novembre 2023
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-306
• Gravité : CVSS 5,3 (moyenne)
• Probabilité d’exploitation (EPSS) : 83 %

Juniper Junos OS sur EX Series contient une vulnérabilité d'absence d'authentification pour une fonction critique qui permet à un attaquant sans authentification, basé sur le réseau, de causer un impact limité sur l'intégrité du système de fichiers. Avec une requête spécifique à installAppPackage.php qui ne nécessite pas d'authentification, un attaquant est en mesure de téléverser des fichiers arbitraires via J-Web, entraînant une perte d'intégrité pour une partie du système de fichiers, ce qui peut permettre de chaîner vers d'autres vulnérabilités.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · supportportal.juniper.net

CVE-2023-36846 — Juniper Junos OS SRX Series : absence d'authentification pour une fonction critique

• Produit : Juniper Junos OS
• Ajoutée au catalogue : 13 novembre 2023
• Échéance CISA : 17 novembre 2023
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-306
• Gravité : CVSS 5,3 (moyenne)
• Probabilité d’exploitation (EPSS) : 93 %

Juniper Junos OS sur la série SRX contient une vulnérabilité d'absence d'authentification pour une fonction critique qui permet à un attaquant sans authentification, basé sur le réseau, de causer un impact limité sur l'intégrité du système de fichiers. Avec une requête spécifique à user.php qui ne nécessite pas d'authentification, un attaquant est en mesure de téléverser des fichiers arbitraires via J-Web, entraînant une perte d'intégrité pour une partie du système de fichiers, ce qui peut permettre de chaîner vers d'autres vulnérabilités.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · supportportal.juniper.net

CVE-2023-36845 — Juniper Junos OS, séries EX et SRX : vulnérabilité de modification de variable externe PHP

• Produit : Juniper Junos OS
• Ajoutée au catalogue : 13 novembre 2023
• Échéance CISA : 17 novembre 2023
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-473
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 95 %
• Technologie : PHP

Juniper Junos OS sur les séries EX et SRX contient une vulnérabilité de modification de variable externe PHP qui permet à un attaquant non authentifié, basé sur le réseau, de contrôler une variable d'environnement importante. En utilisant une requête élaborée, qui définit la variable PHPRC, un attaquant est en mesure de modifier l'environnement d'exécution PHP, permettant l'injection et l'exécution de code.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · supportportal.juniper.net

CVE-2023-36844 — Juniper Junos OS EX Series : vulnérabilité de modification de variable externe PHP

• Produit : Juniper Junos OS
• Ajoutée au catalogue : 13 novembre 2023
• Échéance CISA : 17 novembre 2023
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-473
• Gravité : CVSS 5,3 (moyenne)
• Probabilité d’exploitation (EPSS) : 90 %
• Technologie : PHP

Juniper Junos OS sur la série EX contient une vulnérabilité de modification de variable externe PHP qui permet à un attaquant non authentifié, basé sur le réseau, de contrôler certaines variables d'environnement importantes. En utilisant une requête élaborée, un attaquant est en mesure de modifier certaines variables d'environnement PHP, entraînant une perte partielle d'intégrité, ce qui peut permettre de chaîner vers d'autres vulnérabilités.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · supportportal.juniper.net

CVE-2020-1631 — Juniper Junos OS : vulnérabilité de traversée de répertoires

• Produit : Juniper Junos OS
• Ajoutée au catalogue : 25 mars 2022
• Échéance CISA : 15 avril 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-22, CWE-73
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 5 %

Une vulnérabilité de traversée de répertoires dans le service HTTP/HTTPS utilisé par J-Web, Web Authentication, Dynamic-VPN (DVPN), Firewall Authentication Pass-Through with Web-Redirect et Zero Touch Provisioning (ZTP) permet à un attaquant non authentifié d'exécuter du code à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA