Уязвимость BDU:2021-04388

Дата: 31.03.2021. Автор: ФСТЭК России. Категории: Уязвимости

Идентификатор: BDU:2021-04388.

Наименование уязвимости: Уязвимость интерфейса iControl REST API средств контроля доступа и удаленной аутентификации BIG-IP (LTM, AAM, Advanced WAF, AFM, Analytics, APM, ASM, DDHD, DNS, FPS, GTM, Link Controller, PEM, SSLO), серверного программного обеспечения BIG-IQ Centralized Management, позволяющая нарушителю выполнить произвольные команды в целевой системе.

Описание уязвимости: Уязвимость интерфейса iControl REST API средств контроля доступа и удаленной аутентификации BIG-IP (LTM, AAM, Advanced WAF, AFM, Analytics, APM, ASM, DDHD, DNS, FPS, GTM, Link Controller, PEM, SSLO), серверного программного обеспечения BIG-IQ Centralized Management связана с недостаточной проверкой аргументов, передаваемых в команду. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные команды в целевой системе
Уязвимое ПО: ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Application Acceleration Manager от 15.1.0 до 15.1.2.1 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Application Acceleration Manager от 14.1.0 до 14.1.4 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Application Acceleration Manager от 13.1.0 до 13.1.3.6 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Application Acceleration Manager от 12.1.0 до 12.1.5.3 | Сетевое средство, ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Advanced Web Application Firewall от 16.0.0 до 16.0.1.1 | Сетевое средство, ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Advanced Web Application Firewall от 15.1.0 до 15.1.2.1 | Сетевое средство, ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Advanced Web Application Firewall от 14.1.0 до 14.1.4 | Сетевое средство, ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Advanced Web Application Firewall от 13.1.0 до 13.1.3.6 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Advanced Firewall Manager от 16.0.0 до 16.0.1.1 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Advanced Firewall Manager от 15.1.0 до 15.1.2.1 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Advanced Firewall Manager от 14.1.0 до 14.1.4 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Advanced Firewall Manager от 13.1.0 до 13.1.3.6 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Advanced Firewall Manager от 12.1.0 до 12.1.5.3 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Analytics от 16.0.0 до 16.0.1.1 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Analytics от 15.1.0 до 15.1.2.1 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Analytics от 14.1.0 до 14.1.4 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Analytics от 13.1.0 до 13.1.3.6 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Analytics от 12.1.0 до 12.1.5.3 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Access Policy Manager от 16.0.0 до 16.0.1.1 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Access Policy Manager от 15.1.0 до 15.1.2.1 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Access Policy Manager от 14.1.0 до 14.1.4 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Access Policy Manager от 13.1.0 до 13.1.3.6 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Access Policy Manager от 12.1.0 до 12.1.5.3 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Application Security Manager от 16.0.0 до 16.0.1.1 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Application Security Manager от 14.1.0 до 14.1.4 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Application Security Manager от 13.1.0 до 13.1.3.6 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Application Security Manager от 12.1.0 до 12.1.5.3 | Средство защиты, ПО программно-аппаратных средств защиты F5 Networks, Inc. BIG-IP DDos Hybrid Defender от 16.0.0 до 16.0.1.1 | Средство защиты, ПО программно-аппаратных средств защиты F5 Networks, Inc. BIG-IP DDos Hybrid Defender от 15.1.0 до 15.1.2.1 | Средство защиты, ПО программно-аппаратных средств защиты F5 Networks, Inc. BIG-IP DDos Hybrid Defender от 14.1.0 до 14.1.4 | Средство защиты, ПО программно-аппаратных средств защиты F5 Networks, Inc. BIG-IP DDos Hybrid Defender от 13.1.0 до 13.1.3.6 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP DNS от 16.0.0 до 16.0.1.1 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP DNS от 15.1.0 до 15.1.2.1 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP DNS от 14.1.0 до 14.1.4 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP DNS от 13.1.0 до 13.1.3.6 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP DNS от 12.1.0 до 12.1.5.3 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Global Traffic Manager от 16.0.0 до 16.0.1.1 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Global Traffic Manager от 15.1.0 до 15.1.2.1 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Global Traffic Manager от 14.1.0 до 14.1.4 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Global Traffic Manager от 13.1.0 до 13.1.3.6 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Global Traffic Manager от 12.1.0 до 12.1.5.3 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Link Controller от 16.0.0 до 16.0.1.1 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Link Controller от 15.1.0 до 15.1.2.1 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Link Controller от 14.1.0 до 14.1.4 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Link Controller от 13.1.0 до 13.1.3.6 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Link Controller от 12.1.0 до 12.1.5.3 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Policy Enforcement Manager от 16.0.0 до 16.0.1.1 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Policy Enforcement Manager от 15.1.0 до 15.1.2.1 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Policy Enforcement Manager от 14.1.0 до 14.1.4 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Policy Enforcement Manager от 13.1.0 до 13.1.3.6 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Policy Enforcement Manager от 12.1.0 до 12.1.5.3 | Программное средство защиты F5 Networks, Inc. BIG-IP SSL Orchestrator от 16.0.0 до 16.0.1.1 | Программное средство защиты F5 Networks, Inc. BIG-IP SSL Orchestrator от 15.1.0 до 15.1.2.1 | Программное средство защиты F5 Networks, Inc. BIG-IP SSL Orchestrator от 14.1.0 до 14.1.4 | Программное средство защиты F5 Networks, Inc. BIG-IP SSL Orchestrator от 13.1.0 до 13.1.3.6 | Программное средство защиты F5 Networks, Inc. BIG-IP SSL Orchestrator от 12.1.0 до 12.1.5.3 | Средство защиты, Программное средство защиты F5 Networks, Inc. BIG-IQ Centralized Management от 7.1.0 до 7.1.0.3 | Средство защиты, Программное средство защиты F5 Networks, Inc. BIG-IQ Centralized Management от 7.0.0 до 7.0.0.2 | Сетевое средство, ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP LTM от 16.0.0 до 16.0.1.1 | Сетевое средство, ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP LTM от 15.1.0 до 15.1.2.1 | Сетевое средство, ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP LTM от 14.1.0 до 14.1.4 | Сетевое средство, ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP LTM от 13.1.0 до 13.1.3.6 | Сетевое средство, ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP LTM от 12.1.0 до 12.1.5.3 | ПО сетевого программно-аппаратного средства F5 Networks, Inc. BIG-IP Application Acceleration Manager от 16.0.0 до 16.0.1 |

Наименование ОС и тип аппаратной платформы:
Дата выявления: 31.03.2021.
CVSS 2.0: AV:N/AC:L/Au:N/C:C/I:C/A:C
Уровень опасности уязвимости: Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению:
Использование рекомендаций:
https://support.f5.com/csp/article/K03009991
.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Существует в открытом доступе
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2021-22986.

Тип ошибки CWE: CWE-78
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://support.f5.com/csp/article/K03009991
https://www.cybersecurity-help.cz/vdb/SB2021031102
http://packetstormsecurity.com/files/162059/F5-iControl-Server-Side-Request-Forgery-Remote-Command-Execution.html
http://packetstormsecurity.com/files/162066/F5-BIG-IP-16.0.x-Remote-Code-Execution.html

Об авторе ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.
Читать все записи автора ФСТЭК России

Добавить комментарий

Ваш адрес email не будет опубликован.