首页 云计算

云安全日报210311:F5负载均衡厂商应用交付平台发现远程命令执行漏洞,需要尽快升级

F5 BIG-IP是F5公司的一款集成了网络流量管理、应用程序安全管理、负载均衡等功能的应用交付平台。

3月10日,负载均衡厂商F5发布了安全更新,修复了旗下应用交互平台中发现的远程命令执行等高危漏洞。以下是漏洞详情:

漏洞详情

来源:https://support.f5.com/csp/article/K02566623?spm=a2c4g.11174386.n2.3.71bc1051chIcXa

1.CVE-2021-22987 CVSS评分:9.9 严重程度:重要

在设备模式下运行时,流量管理用户界面(TMUI)(也称为配置实用程序)在未公开的页面中具有经过身份验证的远程命令执行漏洞。

2.CVE-2021-22986 CVSS评分:9.8 严重程度:重要

iControl REST界面具有未经身份验证的远程命令执行漏洞。

3.CVE-2021-22991 CVSS评分:9.0 严重程度:重要

流量管理微内核(TMM)URI规范化可能会错误地处理对虚拟服务器的未公开请求,这可能会触发缓冲区溢出,从而导致拒绝服务攻击。在某些情况下,理论上它可以允许绕过基于URL的访问控制或远程代码执行(RCE)。

4.CVE-2021-22992 CVSS评分:9.0 严重程度:重要

对策略中配置了“登录页面”的Advanced WAF / BIG-IP ASM虚拟服务器的恶意HTTP响应可能会触发缓冲区溢出,从而导致DoS攻击。在某些情况下,它可能允许远程执行代码(RCE),从而导致完整的系统危害。

5.CVE-2021-22988 CVSS评分:8.8 严重程度:高

TMUI,也称为“配置”实用程序,在未公开的页面中具有经过身份验证的远程命令执行漏洞。

6.CVE-2021-22989 CVSS评分:8.0 严重程度:高

当在具有高级WAF或BIG-IP ASM设置的设备模式下运行时,TMUI(也称为配置实用程序)在未公开的页面中具有经过身份验证的远程命令执行漏洞。

7.CVE-2021-22990 CVSS评分:6.6 严重程度:中

在配备了高级WAF或BIG-IP ASM的系统上,TMUI(也称为配置实用程序)在未公开的页面中具有经过身份验证的远程命令执行漏洞。

受影响产品及版本

CVE-2021-22986 影响版本:

F5 BIG-IP 16.0.0-16.0.1

F5 BIG-IP 15.1.0-15.1.2

F5 BIG-IP 14.1.0-14.1.3.1

F5 BIG-IP 13.1.0-13.1.3.5

F5 BIG-IP 12.1.0-12.1.5.2

F5 BIG-IQ 7.1.0-7.1.0.2

F5 BIG-IQ 7.0.0-7.0.0.1

F5 BIG-IQ 6.0.0-6.1.0

CVE-2021-22987,CVE-2021-22988,CVE-2021-22989,CVE-2021-22990 影响版本:

F5 BIG-IP 16.0.0-16.0.1

F5 BIG-IP 15.1.0-15.1.2

F5 BIG-IP 14.1.0-14.1.3.1

F5 BIG-IP 13.1.0-13.1.3.5

F5 BIG-IP 12.1.0-12.1.5.2

F5 BIG-IP 11.6.1-11.6.5.2

解决方案

建议将F5 BIG-IP / BIG-IQ 升级至官方安全版本。

官方参考地址:https://support.f5.com/csp/article/K02566623

查看更多漏洞信息 以及升级请访问官网:

https://support.f5.com/csp/bug-tracker

官方微博/微信

每日头条、业界资讯、热点资讯、八卦爆料,全天跟踪微博播报。各种爆料、内幕、花边、资讯一网打尽。百万互联网粉丝互动参与,TechWeb官方微博期待您的关注。

↑扫描二维码

想在手机上看科技资讯和科技八卦吗?

想第一时间看独家爆料和深度报道吗?

请关注TechWeb官方微信公众帐号:

1.用手机扫左侧二维码;

2.在添加朋友里,搜索关注TechWeb。

手机游戏更多