Haavoittuvuus10/2021CVSS 9.9
F5 julkaisi neljä kriittistä haavoittuvuutta, jotka mahdollistavat hyökkääjälle esimerkiksi etänä suoritettavien komentojen avulla järjestelmän haltuun ottamisen. F5-tuotteita on laajasti käytössä ympäri maailmaa - päivitättehän F5-tuotteenne välittömästi.
F5 julkaisi keskiviikkona 10.3 useita kriittisiä haavoittuvuuksia ja päivitykset niihin. Haavoittuvuudet koskevat suurinta osaa BIG-IP ja BIG-IQ -tuotteista.
CVE-2021-22986 (CVSS 9.8) -haavoittuvuus mahdollistaa iControl REST -rajapintaan etänä suoritettavien komentojen suorittamisen. Haavoittuvuutta hyväksikäyttämällä hyökkääjä voi suorittaa mielivaltaista ohjelmakoodia, muokata tiedostoja sekä poistaa palveluja käytöstä. Haavoittuvuuden hyväksikäyttö voi johtaa järjestelmän täydelliseen haltuunottoon.
CVE-2021-22987 (CVSS 9.9) -haavoittuvuus mahdollistaa mielivaltaisen ohjelmakoodin syöttämisen TMUI:een (Traffic Management User Interface), silloin kun appliance mode on käytössä. Haavoittuvuuden hyväksikäyttö voi johtaa järjestelmän täydelliseen haltuunottoon.
CVE-2021-22991 (CVSS 9.0) -haavoittuvuuden avulla virtuaalipalvelimelle lähetetyt pyynnöt voivat sekoittaa TMM:n (Traffic Management Microkernel) toimintaa, joka voi aiheuttaa puskuriylivuodon. Tämä voi johtaa palvelunestohyökkäykseen.
CVE-2021-22992 (CVSS 9.0) -haavoittuvuuden avulla haitallinen HTTP-vastaus WAF/BIG IP ASM -virtuaalipalvelimelle, jolle on kirjautumissivu määriteltynä, voi aiheuttaa puskuriylivuodon ja palvelunestohyökkäyksen.
Kohde
- Palvelimet ja palvelinsovellukset
Hyökkäystapa
- Etäkäyttö
Vaikutukset
- Komentojen mielivaltainen suorittaminen
- Suojauksen ohittaminen
- Käyttövaltuuksien laajentaminen
- Tietojen muokkaaminen
Hyväksikäyttömenetelmä tiedossa
- Ei julkaistu
Ratkaisu
- Korjaava ohjelmistopäivitys
Haavoittuvuuden kohde
Katso tarkemmat tiedot F5:n omalta haavoittuvuussivulta (Ulkoinen linkki) (ulkoinen linkki)
Mistä on kysymys?
Päivitä F5:t seuraavasti:
BIG-IP versiot, johon tulee päivittää: 16.0.1.1, 15.1.2.1, 14.1.4, 13.1.3.6, 12.1.5.3, ja 11.6.5.3.
CVE-2021-22986 vaikuttaa myös BIG-IQ:n, ja tämä on korjattu versioissa 8.0.0, 7.1.0.3 ja 7.0.0.2.