首頁>網絡安全>关于F5 BIG-IP iControl REST存在身份认证绕过漏洞

关于F5 BIG-IP iControl REST存在身份认证绕过漏洞

2022-05-01
國家信息安全漏洞共享平台

安全公告編號:CNTA-2022-0012

2022年5月7日,國家信息安全漏洞共享平台(CNVD)收录了F5 BIG-IP iControl REST身份认证绕过漏洞(CNVD-2022-35519,对应CVE-2022-1388)。攻击者利用该漏洞,可在未授权的情况下执行任意系统命令,创建或删除文件以及禁用服务。目前,漏洞利用细节已公开,厂商已发布补丁完成修复。

一、漏洞情況分析

F5 BIG-IP是美国F5公司一款集成网络流量管理、应用程序安全管理、负载均衡等功能的应用交付平台(ADN)。F5 BIG-IP充分利用了F5的TMOS构架,改进了链路性能,同时提供较为灵活的状态检查功能。

2022年5月7日,國家信息安全漏洞共享平台(CNVD)收录了F5 BIG-IP iControl REST身份认证绕过漏洞。由于iControl REST组件的身份认证功能存在绕过缺陷,导致授权访问机制失效。未经身份认证的攻击者利用该漏洞,通过向BIG-IP服务器发送恶意构造请求,绕过身份认证,在目标系统上执行任意系统命令,创建或删除文件以及禁用服务等操作。

CNVD對該漏洞的綜合評級爲“高危”。

二、漏洞影響範圍

漏洞影響的産品版本包括:

BIG-IP 16.x: 16.1.0-16.1.2

BIG-IP 15.x: 15.1.0-15.1.5

BIG-IP 14.x: 14.1.0-14.1.4

BIG-IP 13.x: 13.1.0-13.1.4

BIG-IP 12.x: 12.1.0-12.1.6

BIG-IP 11.x: 11.6.1-11.6.5

三、漏洞處置建議

目前,F5公司已發布新版本修複該漏洞,CNVD建議用戶立即升級至最新版本:

https://support.f5.com/csp/article/K55879220

臨時解決方案如下:

1、设置白名单限制对iControl REST组件访问;

2、通過管理界面將訪問限制爲僅受信任的用戶和設備;

3、参考官方建议修改 BIG-IP httpd配置限制对iControl REST组件访问。

 

附:參考鏈接:

https://support.f5.com/csp/article/K55879220

 

感谢北京知道创宇信息技术股份有限公司、深信服科技股份有限公司、新华三技术有限公司、杭州安恒信息技术股份有限公司、亚信科技(成都)有限公司和北京天融信網絡安全技术有限公司为本报告提供的技术支持。