详情

F5 BIG-IP是F5公司的一款集成了网络流量管理、应用程序安全管理、负载均衡等功能的应用交付平台。

3月10日,负载均衡厂商F5发布了安全更新,修复了旗下应用交互平台中发现的远程命令执行等高危漏洞。以下是漏洞详情:

漏洞详情

来源:/csp/article/K?spm=a2c4g..

-2021-22987 CVSS评分: 严重程度:重要

在设备模式下运行时，流量管理用户界面（TMUI）（也称为配置实用程序）在未公开的页面中具有经过身份验证的远程命令执行漏洞。

-2021-22986 CVSS评分: 严重程度:重要

iControl REST界面具有未经身份验证的远程命令执行漏洞。

-2021-22991 CVSS评分: 严重程度:重要

流量管理微内核（TMM）URI规范化可能会错误地处理对虚拟服务器的未公开请求，这可能会触发缓冲区溢出，从而导致拒绝服务攻击。在某些情况下，理论上它可以允许绕过基于URL的访问控制或远程代码执行（RCE）。

-2021-22992 CVSS评分: 严重程度:重要

对策略中配置了“登录页面”的Advanced WAF / BIG-IP ASM虚拟服务器的恶意HTTP响应可能会触发缓冲区溢出，从而导致DoS攻击。在某些情况下，它可能允许远程执行代码（RCE），从而导致完整的系统危害。

-2021-22988 CVSS评分: 严重程度:高

TMUI，也称为“配置”实用程序，在未公开的页面中具有经过身份验证的远程命令执行漏洞。

-2021-22989 CVSS评分: 严重程度:高

当在具有高级WAF或BIG-IP ASM设置的设备模式下运行时，TMUI（也称为配置实用程序）在未公开的页面中具有经过身份验证的远程命令执行漏洞。

-2021-22990 CVSS评分: 严重程度:中

在配备了高级WAF或BIG-IP ASM的系统上，TMUI（也称为配置实用程序）在未公开的页面中具有经过身份验证的远程命令执行漏洞。

受影响产品及版本

CVE-2021-22986 影响版本:

F5 BIG-IP -

F5 BIG-IP -

F5 BIG-IP -.1

F5 BIG-IP -.5

F5 BIG-IP -.2

F5 BIG-IQ -.2

F5 BIG-IQ -.1

F5 BIG-IQ -

CVE-2021-22987，CVE-2021-22988，CVE-2021-22989，CVE-2021-22990 影响版本:

F5 BIG-IP -

F5 BIG-IP -

F5 BIG-IP -.1

F5 BIG-IP -.5

F5 BIG-IP -.2

F5 BIG-IP -.2

解决方案

建议将F5 BIG-IP / BIG-IQ 升级至官方安全版本。

官方参考地址:/csp/article/K

查看更多漏洞信息 以及升级请访问官网:

/csp/bug-tracker