Vulnerability Details : CVE-2020-1637
A vulnerability in Juniper Networks SRX Series device configured as a Junos OS Enforcer device may allow a user to access network resources that are not permitted by a UAC policy. This issue might occur when the IP address range configured in the Infranet Controller (IC) is configured as an IP address range instead of an IP address/netmask. See the Workaround section for more detail. The Junos OS Enforcer CLI settings are disabled by default. This issue affects Juniper Networks Junos OS on SRX Series: 12.3X48 versions prior to 12.3X48-D100; 15.1X49 versions prior to 15.1X49-D210; 17.3 versions prior to 17.3R2-S5, 17.3R3-S8; 17.4 versions prior to 17.4R2-S9, 17.4R3-S1; 18.1 versions prior to 18.1R3-S10; 18.2 versions prior to 18.2R2-S7, 18.2R3-S3; 18.3 versions prior to 18.3R1-S7, 18.3R3-S2; 18.4 versions prior to 18.4R1-S6, 18.4R2-S4, 18.4R3-S1; 19.1 versions prior to 19.1R1-S4, 19.1R2-S1, 19.1R3; 19.2 versions prior to 19.2R1-S3, 19.2R2; 19.3 versions prior to 19.3R2-S1, 19.3R3; 19.4 versions prior to 19.4R1-S1, 19.4R2.
Vulnerability category: BypassGain privilege
Products affected by CVE-2020-1637
- cpe:2.3:o:juniper:junos:12.3x48:d10:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:12.3x48:-:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:15.1x49:d10:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:15.1x49:d20:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:12.3x48:d15:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:15.1x49:d150:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:15.1x49:d30:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:15.1x49:d35:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:12.3x48:d25:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:12.3x48:d20:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:12.3x48:d30:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:15.1x49:d45:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:15.1x49:d50:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:15.1x49:d55:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:15.1x49:d40:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:12.3x48:d40:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:12.3x48:d50:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:12.3x48:d35:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:12.3x48:d45:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:15.1x49:d65:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:15.1x49:d75:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:15.1x49:d80:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:15.1x49:d90:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:15.1x49:d60:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:15.1x49:d70:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:15.1x49:d100:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:12.3x48:d55:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:15.1x49:-:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:15.1x49:d15:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:15.1x49:d110:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:15.1x49:d120:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.3:r2:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.4:r1:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.4:r2:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:12.3x48:d65:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:12.3x48:d60:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:12.3x48:d70:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:15.1x49:d130:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:15.1x49:d140:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.3:r2-s2:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.1:r2:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:15.1x49:d25:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:12.3x48:d75:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:12.3x48:d51:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:12.3x48:d80:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.3:r2-s1:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.3:-:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.4:-:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.4:r1-s1:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.4:r1-s2:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.1:-:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.3:r1-s2:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.3:r1:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.3:r1-s1:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.3:-:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.4:r1:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.4:-:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.4:r2-s2:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.3:r3-s2:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.4:r1-s5:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.1:r3:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.1:r3-s1:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.3:r3-s1:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.4:r1-s6:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.4:r2-s1:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.4:r1-s4:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.1:r2-s1:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.1:r2-s2:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.2:r1-s5:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.2:-:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.2:r2-s1:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.2:r1-s3:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.3:r1-s3:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.1:r3-s2:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.1:r3-s3:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.1:r3-s4:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.2:r2-s2:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.3:r3-s5:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.3:r3-s3:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.3:r3-s4:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.4:r1-s7:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.4:r2-s3:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.4:r2-s4:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.1:r2-s4:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.2:r2-s3:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.3:r1-s4:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.4:r1-s2:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:19.1:-:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:19.1:r1:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:19.1:r1-s1:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.4:r2-s5:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.4:r2-s7:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.4:r2-s6:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.2:r2-s4:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.3:r1-s1:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:15.1x49:d170:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:15.1x49:d160:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.3:r3-s6:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.1:r3-s7:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.1:r3-s6:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:19.1:r1-s3:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:19.1:r1-s2:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.3:r2:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.4:r1-s3:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.4:r1-s4:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:19.2:r1:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.2:r3:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.4:r2:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.3:r2-s3:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.3:r3:-:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.2:r1:-:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.4:r1-s1:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:15.1x49:d180:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.3:r2-s4:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.3:r1-s5:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.3:r1-s6:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.3:r2-s1:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.3:r2-s2:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.3:r3:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.3:r3-s1:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.4:r1-s5:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.4:r2-s1:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.4:r2-s2:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.4:r2-s3:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.4:r3:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:19.1:r2:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:19.2:-:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:19.2:r1-s1:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.4:r2-s8:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.4:r3:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.1:r3-s8:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.2:r2-s5:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.2:r2-s6:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.2:r3-s1:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.2:r3-s2:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:19.2:r1-s2:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:19.3:r2:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:19.4:r1:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:15.1x49:d190:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:15.1x49:d200:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:17.3:r3-s7:*:*:*:*:*:*
- cpe:2.3:o:juniper:junos:18.1:r3-s9:*:*:*:*:*:*
Exploit prediction scoring system (EPSS) score for CVE-2020-1637
0.08%
Probability of exploitation activity in the next 30 days
EPSS Score History
~ 34 %
Percentile, the proportion of vulnerabilities that are scored at or less
CVSS scores for CVE-2020-1637
| Base Score | Base Severity | CVSS Vector | Exploitability Score | Impact Score | Score Source | First Seen |
|---|---|---|---|---|---|---|
|
5.8
|
MEDIUM | AV:N/AC:M/Au:N/C:P/I:P/A:N |
8.6
|
4.9
|
NIST | |
|
6.5
|
MEDIUM | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N |
3.9
|
2.5
|
NIST | |
|
7.2
|
HIGH | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N |
3.9
|
2.7
|
Juniper Networks, Inc. |
CWE ids for CVE-2020-1637
-
When an actor claims to have a given identity, the product does not prove or insufficiently proves that the claim is correct.Assigned by: nvd@nist.gov (Primary)
-
A product requires authentication, but the product has an alternate path or channel that does not require authentication.Assigned by: sirt@juniper.net (Secondary)
References for CVE-2020-1637
-
https://kb.juniper.net/JSA11018
2020-04 Security Bulletin: Junos OS: SRX Series: Unified Access Control (UAC) bypass vulnerability (CVE-2020-1637) - Juniper NetworksVendor Advisory
Jump to