BDU:2025-10995 (CVE-2025-54500) — уязвимость реализации протокола HTTP/2 программного обеспечения для защиты и управления трафиком приложений BIG
По данным БДУ ФСТЭК России, по состоянию на 12.09.2025.
Средний — 5.3/10 Устранена
Уязвимость реализации протокола HTTP/2 программного обеспечения для защиты и управления трафиком приложений BIG-IP Next и программных средств BIG-IP Next SPK, BIG-IP Next CNF, BIG-IP Next for Kubernetes, BIG-IP, F5 Silverline связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании
Кого касается и что делать
- Уязвимое ПО: BIG-IP (F5 Networks) — версии от 15.1.0 до 15.1.10 включительно, от 17.5.0 до 17.5.1 включительно, от 17.1.0 до 17.1.2 включительно, от 16.1.0 до 16.1.6 включительно; BIG-IP Next (F5 Networks) — версии 20.3.0; BIG-IP Next SPK (F5 Networks) — версии от 2.0.0 до 2.0.2 включительно, от 1.7.0 до 1.9.2 включительно; и ещё 2 позиции
- Что делать: уязвимость устранена производителем — применить исправления: my.f5.com
Сведения об уязвимости
| Идентификаторы | BDU:2025-10995 · CVE-2025-54500 |
| Уровень опасности | Средний (базовая оценка CVSS 3.1 — 5.3; CVSS 4.0 — 6.9; CVSS 2.0 — 5.0) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, без прав, без участия пользователя, ограниченное влияние на доступность |
| Вектор CVSS 4.0 | AV:N/ атака по сети, низкая сложность, без прав, без участия пользователя, ограниченное влияние на доступность |
| Наименование ФСТЭК | Уязвимость реализации протокола HTTP/2 программного обеспечения для защиты и управления трафиком приложений BIG-IP Next и программных средств BIG-IP Next SPK, BIG-IP Next CNF, BIG-IP Next for Kubernetes, BIG-IP, F5 Silverline, позволяющая нарушителю вызвать отказ в обслуживании |
| Даты | Опубликована: 12.09.2025 · Обновлена ФСТЭК: 12.09.2025 · Выявлена: 13.08.2025 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-770 — неограниченное распределение ресурсов или дросселирование |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: манипулирование ресурсами |
Уязвимое ПО
- BIG-IP (F5 Networks) — версии от 15.1.0 до 15.1.10 включительно, от 17.5.0 до 17.5.1 включительно, от 17.1.0 до 17.1.2 включительно, от 16.1.0 до 16.1.6 включительно · прикладное ПО информационных систем
- BIG-IP Next (F5 Networks) — 20.3.0 · прикладное ПО информационных систем
- BIG-IP Next SPK (F5 Networks) — версии от 2.0.0 до 2.0.2 включительно, от 1.7.0 до 1.9.2 включительно · прикладное ПО информационных систем
- BIG-IP Next CNF (F5 Networks) — версии от 2.0.0 до 2.0.2 включительно, от 1.1.0 до 1.4.1 включительно · программное средство защиты
- BIG-IP Next for Kubernetes (F5 Networks) — 2.0.0 · прикладное ПО информационных систем
Возможные меры по устранению уязвимости
Обновление.
- Использование рекомендаций
- my.f5.com/manage/s/article/K000152001
