CVE-2020-1685

Cuando se configuran filtros de firewall sin estado en dispositivos Juniper Networks EX4600 y QFX 5000 Series utilizando el protocolo Virtual Extensible LAN (VXLAN), la acción de descarte presentará un fallo al descartar el tráfico bajo determinadas condiciones. Dada una configuración de filtro de firewall similar a: family ethernet-switching { filter L2-VLAN { term ALLOW { from { user-vlan-id 100; } then { accept; } } term NON-MATCH { then { discard; } } cuando solo existe un término que contiene una condición de coincidencia "user-vlan-id" y no existe otros términos en el filtro de firewall excepto descartar, la acción de descarte para el tráfico que no coincide solo descartará el tráfico con la misma ID de VLAN especificada en "user-vlan-id". El resto del tráfico (por ejemplo, VLAN ID 200) no será descartada. Este comportamiento inesperado puede conllevar que el tráfico no deseado pase por medio de la interfaz donde se aplica el filtro de firewall. Este problema solo afecta a los sistemas que usan VXLAN. Este problema afecta a Juniper Networks Junos OS en la serie QFX5K: versiones 18.1 anteriores a 18.1R3-S7, excepto 18.1R3; versiones 18.2 anteriores a 18.2R2-S7, 18.2R3-S1; versiones 18.3 anteriores a 18.3R1-S5, 18.3R2-S4, 18.3R3; versiones 18.4 anteriores a 18.4R1-S7, 18.4R2-S1, 18.4R3;  versiones 19.1anteriores a 19.1R1-S5, 19.1R2;  versiones 19.2 anteriores a 19.2R1-S5, 19.2R2. 19.1R2;  versiones 19.2 anteriores a 19.2R1-S5, 19.2R2. 19.1R2;  versiones 19.2 anteriores a 19.2R1-S5, 19.2R2