CVE:CVE-2009-3486
CNNVD:CNNVD-200910-075
Juniper JUNOS的J-Web界面中存在多个跨站脚本攻击漏洞。远程验证用户借助对(1)可从诊断程序中获得的pinghost程序的主机参数;或(2)可从诊断程序中获得的traceroute程序;或 (3)对设置程序的probe-limit参数;(4)wizard-ids或(5)对设置程序的防火墙过滤操作的pager-new-identifier参数;(6)对设置程序的一个操作的cos-physical-interface-name参数;(7)wizard-args或(8)对设置程序的一个snnp操作的wizard-ids参数;(9)用户名或(10)对设置程序的一个用户操作的全名参数;或(11)certname或(12)对设置程序的一个local-cert (又称 https)操作的certbody参数,注入任意web脚本或HTML。
solution:Upgrade juniper junos to a higher version than 8.5:r1.14,and avoid the version 8.5:r1.14