跳到主要內容區塊

跨域資安強化產業推動計畫網站 ACW

情資分享 | 網路設備廠商F5呼籲用戶修補BIG-IP與BIG-IQ產品的嚴重漏洞


網路設備廠商F5呼籲用戶修補BIG-IP與BIG-IQ產品的嚴重漏洞
本單元由TWCERT/CC提供,ACW小編整理。


資安情資重點說明
網路和網安設備廠商F5 Networks針對旗下BIG-IPBIG-IQ產品發布了安全性更新,共有7項漏洞,其中包含4個嚴重的遠端執行任意程式碼(Remote Code Execution, RCE)漏洞。在這4個嚴重RCE漏洞中一個屬於預授權RCE漏洞(CVE-2021-22986),此漏洞使未經身分驗證的遠端駭侵者可以在被入侵的BIG-IP設備上執行任意代碼,CVSS評分9.8分

其餘3個嚴重漏洞分別為:
1、 流量管理用戶介面(Traffic Management User Interface, TMUI)在未公開的頁面中存在具有身分驗證的RCE漏洞(CVE-2021-22987),CVSS評分高達9.9分
2、流量管理微核心(Traffic Management Microkernel,TMM)存在緩衝區溢位漏洞(CVE-2021-22991),CVSS評分9.0分
3、 Advanced WAF/ASM存有緩衝區溢位漏洞(CVE-2021-22992),CVSS評分9.0分

此次,F5所發布的漏洞公告中,除上述4個較嚴重的RCE漏洞外,另外3個RCE漏洞的安全公告(2個高度風險CVE-2021-22988CVE-2021-229891個中度風險CVE-2021-22990,其CVSS評分分別為8.8、8.0、6.6),在允許經過驗證的遠端攻擊者執行任意系統命令,BIG-IP的RCE漏洞可能會導致全面的系統入侵,包括截取控制器應用流量和橫向移動到內部網路。

根據F5的資訊,這7個漏洞在以下BIG-IP版本中已得到修復:16.0.1.1、15.1.2.1、14.1.4、13.1.3.6、12.1.5.3和11.6.5.3。影響BIG-IQ的預授權RCE漏洞(CVE-2021-22986)也在8.0.0、7.1.0.3和7.0.0.2版本中均已修復。

目前F5在BIG-IP升級指南詳細介紹了多種升級方案,並呼籲相關產品用戶盡快進行漏洞修補更新。

建議採取資安強化措施
1、 依照F5官方提供之升級指南(https://support.f5.com/csp/article/K84205182),將受影響產品更新至已修復版本。

相關參考連結
1、K84205182: BIG-IP update and upgrade guide | Chapter 1: Guide contents
2、K03009991: iControl REST unauthenticated remote command execution vulnerability CVE-2021-22986
3、K18132488: Appliance mode TMUI authenticated remote command execution vulnerability CVE-2021-22987
4、K56715231: TMM buffer-overflow vulnerability CVE-2021-22991
5、K52510511: Advanced WAF/ASM buffer-overflow vulnerability CVE-2021-22992
======
CERTCC LOGO | ACW LOGO

[歡迎轉載分享]
更多資安情資 / 資訊,歡迎至台灣電腦網路危機處理暨協調中心資安產業行動計畫網站參考
回到頁面頂端