01.07.2020

BDU:2021-00701 (CVE-2020-5902) — уязвимость интерфейса TMUI средства контроля доступа и удаленной аутентификации BIG-IP Access Policy Manager

По данным БДУ ФСТЭК России, по состоянию на 04.04.2022.

Критический — 9.8/10 Публичный эксплойт Есть инциденты ИБ Устранена

Уязвимость интерфейса TMUI средства контроля доступа и удаленной аутентификации BIG-IP Access Policy Manager, межсетевого экрана BIG-IP Advanced Firewall Manager, средства доставки приложений BIG-IP Application Acceleration Manager, средства защиты приложений BIG-IP Application Security Manager, средства защиты от DDoS-атак BIG-IP DDos Hybrid Defender, DNS-сервера BIG-IP DNS, модуля BIG-IP Fraud Protection Service, системы балансировки интернет-трафика BIG-IP Link Controller, системы балансировки локального трафика BIG-IP Local Traffic Manager, системы контроля и управления сетевым трафиком BIG-IP Policy Enforcement Manager, средства расшифровки SSL и перенаправления расшифрованного трафика SSL Orchestrator связана с ошибками управления генерацией кода. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Кого касается и что делать

Уязвимое ПО: BIG-IP Access Policy Manager (F5 Networks) — версии от 11.6.1 до 11.6.5.2, от 12.1.0 до 12.1.5.2, от 13.1.0 до 13.1.3.4, от 14.1.0 до 14.1.2.6, от 15.0.0 до 15.0.1.4, от 15.1.0 до 15.1.0.4; BIG-IP Advanced Firewall Manager (F5 Networks) — версии от 11.6.1 до 11.6.5.2, от 12.1.0 до 12.1.5.2, от 13.1.0 до 13.1.3.4, от 14.1.0 до 14.1.2.6, от 15.0.0 до 15.0.1.4, от 15.1.0 до 15.1.0.4; BIG-IP Advanced Web Application Firewall (F5 Networks) — версии от 12.1.0 до 12.1.5.2, от 13.1.0 до 13.1.3.4, от 14.1.0 до 14.1.2.6, от 15.0.0 до 15.0.1.4, от 15.1.0 до 15.1.0.4; и ещё 11 позиций
Что делать: уязвимость устранена производителем — применить исправления: support.f5.com
Эксплойт: существует в открытом доступе — приоритет обновления внеочередной

Сведения об уязвимости

Идентификаторы	BDU:2021-00701 · CVE-2020-5902
Уровень опасности	Критический (базовая оценка CVSS 3.1 — 9.8; CVSS 2.0 — 10.0)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость интерфейса TMUI средства контроля доступа и удаленной аутентификации BIG-IP Access Policy Manager, межсетевого экрана BIG-IP Advanced Firewall Manager, BIG-IP Advanced Web Application Firewall, средства доставки приложений BIG-IP Application Acceleration Manager, средства защиты приложений BIG-IP Application Security Manager, средства защиты от DDoS-атак BIG-IP DDos Hybrid Defender, DNS-сервера BIG-IP DNS, модуля BIG-IP Fraud Protection Service, системы балансировки интернет-трафика BIG-IP Link Controller, системы балансировки локального трафика BIG-IP Local Traffic Manager, системы контроля и управления сетевым трафиком BIG-IP Policy Enforcement Manager, средства расшифровки SSL и перенаправления расшифрованного трафика SSL Orchestrator, позволяющая нарушителю выполнить произвольный код
Даты	Опубликована: 12.02.2021 · Обновлена ФСТЭК: 04.04.2022 · Выявлена: 01.07.2020
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен)
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-94 — неверное управление генерацией кода (Внедрение кода)
Класс уязвимости	Уязвимость кода · Способ эксплуатации: инъекция

Уязвимое ПО

BIG-IP Access Policy Manager (F5 Networks) — версии от 11.6.1 до 11.6.5.2, от 12.1.0 до 12.1.5.2, от 13.1.0 до 13.1.3.4, от 14.1.0 до 14.1.2.6, от 15.0.0 до 15.0.1.4, от 15.1.0 до 15.1.0.4 · ПО сетевого программно-аппаратного средства
BIG-IP Advanced Firewall Manager (F5 Networks) — версии от 11.6.1 до 11.6.5.2, от 12.1.0 до 12.1.5.2, от 13.1.0 до 13.1.3.4, от 14.1.0 до 14.1.2.6, от 15.0.0 до 15.0.1.4, от 15.1.0 до 15.1.0.4 · ПО сетевого программно-аппаратного средства
BIG-IP Advanced Web Application Firewall (F5 Networks) — версии от 12.1.0 до 12.1.5.2, от 13.1.0 до 13.1.3.4, от 14.1.0 до 14.1.2.6, от 15.0.0 до 15.0.1.4, от 15.1.0 до 15.1.0.4 · сетевое средство, ПО сетевого программно-аппаратного средства
BIG-IP Analytics (F5 Networks) — версии от 11.6.1 до 11.6.5.2, от 12.1.0 до 12.1.5.2, от 13.1.0 до 13.1.3.4, от 14.1.0 до 14.1.2.6, от 15.0.0 до 15.0.1.4, от 15.1.0 до 15.1.0.4 · ПО сетевого программно-аппаратного средства
BIG-IP Application Acceleration Manager (F5 Networks) — версии от 12.1.0 до 12.1.5.2, от 13.1.0 до 13.1.3.4, от 14.1.0 до 14.1.2.6, от 15.0.0 до 15.0.1.4, от 15.1.0 до 15.1.0.4 · ПО сетевого программно-аппаратного средства
BIG-IP Application Security Manager (F5 Networks) — версии от 11.6.1 до 11.6.5.2, от 12.1.0 до 12.1.5.2, от 13.1.0 до 13.1.3.4, от 14.1.0 до 14.1.2.6, от 15.0.0 до 15.0.1.4, от 15.1.0 до 15.1.0.4 · ПО сетевого программно-аппаратного средства
BIG-IP DDos Hybrid Defender (F5 Networks) — версии от 11.6.1 до 11.6.5.2, от 12.1.0 до 12.1.5.2, от 13.1.0 до 13.1.3.4, от 14.1.0 до 14.1.2.6, от 15.0.0 до 15.0.1.4, от 15.1.0 до 15.1.0.4 · средство защиты, ПО программно-аппаратных средств защиты
BIG-IP DNS (F5 Networks) — версии от 11.6.1 до 11.6.5.2, от 12.1.0 до 12.1.5.2, от 13.1.0 до 13.1.3.4, от 14.1.0 до 14.1.2.6, от 15.0.0 до 15.0.1.4, от 15.1.0 до 15.1.0.4 · ПО сетевого программно-аппаратного средства
BIG-IP Fraud Protection Service (F5 Networks) — версии от 11.6.1 до 11.6.5.2, от 12.1.0 до 12.1.5.2, от 13.1.0 до 13.1.3.4, от 14.1.0 до 14.1.2.6, от 15.0.0 до 15.0.1.4, от 15.1.0 до 15.1.0.4 · программное средство защиты
BIG-IP Global Traffic Manager (F5 Networks) — версии от 11.6.1 до 11.6.5.2, от 12.1.0 до 12.1.5.2, от 13.1.0 до 13.1.3.4, от 14.1.0 до 14.1.2.6, от 15.0.0 до 15.0.1.4, от 15.1.0 до 15.1.0.4 · ПО сетевого программно-аппаратного средства
BIG-IP Link Controller (F5 Networks) — версии от 11.6.1 до 11.6.5.2, от 12.1.0 до 12.1.5.2, от 13.1.0 до 13.1.3.4, от 14.1.0 до 14.1.2.6, от 15.0.0 до 15.0.1.4, от 15.1.0 до 15.1.0.4 · ПО сетевого программно-аппаратного средства
BIG-IP Local Traffic Manager (F5 Networks) — версии от 11.6.1 до 11.6.5.2, от 12.1.0 до 12.1.5.2, от 13.1.0 до 13.1.3.4, от 14.1.0 до 14.1.2.6, от 15.0.0 до 15.0.1.4, от 15.1.0 до 15.1.0.4 · ПО сетевого программно-аппаратного средства
BIG-IP Policy Enforcement Manager (F5 Networks) — версии от 11.6.1 до 11.6.5.2, от 12.1.0 до 12.1.5.2, от 13.1.0 до 13.1.3.4, от 14.1.0 до 14.1.2.6, от 15.0.0 до 15.0.1.4, от 15.1.0 до 15.1.0.4 · ПО сетевого программно-аппаратного средства
SSL Orchestrator (F5 Networks) — версии от 11.6.1 до 11.6.5.2, от 12.1.0 до 12.1.5.2, от 13.1.0 до 13.1.3.4, от 14.1.0 до 14.1.2.6, от 15.0.0 до 15.0.1.4, от 15.1.0 до 15.1.0.4 · сетевое средство, ПО сетевого программно-аппаратного средства

Возможные меры по устранению уязвимости

Обновление.

Использование рекомендаций
support.f5.com/csp/article/K52145254

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: