Big-ip Advanced Web Application Firewall
Уязвимости
154
Эксплуатируемые
6
Макс. CVSS
9.9
Макс. EPSS
0.99999
Распределение по критичности
Критический
9
Высокий
99
Средний
43
Низкий
3
Затронутые диапазоны версий
11.6.1–11.6.211.6.1–11.6.511.6.1–11.6.5.211.6.1–11.6.5.312.1.0–12.1.512.1.0–12.1.5.312.1.0–12.1.612.1.5.3–12.1.613.1.0–13.1.313.1.0–13.1.3.613.1.0–13.1.413.1.0–13.1.513.1.0–13.1.5.113.1.0–14.1.513.1.0–17.1.213.1.3.4–13.1.3.613.1.3.5–13.1.3.614.0.0–14.1.014.1.0–14.1.0.114.1.0–14.1.2.814.1.0–14.1.3.114.1.0–14.1.414.1.0–14.1.5.214.1.0–14.1.5.4
Также сопоставлено как (исходные строки): big-ip_advanced_firewall_manager,big-ip_domain_name_system,big-ip_local_traffic_manager,big-ip_analytics,big-ip_link_controller,big-ip_access_policy_manager,big-ip_advanced_web_application_firewall,big-ip_application_security_manager,big-ip_application_acceleration_manager,big-ip_fraud_protection_service,big-ip_global_traffic_manager,big-ip_ddos_hybrid_defender
Топ уязвимостей
CVE-2023-41373В утилите настройки BIG-IP существует уязвимость, связанная с обходом каталогов, которая может позволить аутентифицированному злоумышленнику выполнять команды в системе BIG-IP. Для системы BIG-IP, работающей в режиме Appliance, успешная эксплуатация может позволить злоумышленнику пересечь границу безопасности.
Примечание: Версии программного обеспечения, для которых истек срок технической поддержки (EoTS), не оцениваются.
CVE-2021-23031В версиях 16.0.x до 16.0.1.2, 15.1.x до 15.1.3, 14.1.x до 14.1.4.1, 13.1.x до 13.1.4, 12.1.x до 12.1.6 и 11.6.x до 11.6.5.3, аутентифицированный пользователь может выполнить повышение привилегий в утилите BIG-IP Advanced WAF и ASM Configuration. Примечание: версии программного обеспечения, достигшие End of Technical Support (EoTS), не оцениваются.
CVE-2021-22987В версиях BIG-IP 16.0.x до 16.0.1.1, 15.1.x до 15.1.2.1, 14.1.x до 14.1.4, 13.1.x до 13.1.3.6, 12.1.x до 12.1.5.3 и 11.6.x до 11.6.5.3 при работе в режиме Appliance, пользовательский интерфейс управления трафиком (TMUI), также называемый утилитой Configuration, имеет уязвимость аутентифицированного удаленного выполнения команд на нераскрытых страницах. Примечание: версии программного обеспечения, достигшие End of Software Development (EoSD), не оцениваются.
CVE-2023-46747Неопубликованные запросы могут обойти аутентификацию утилиты конфигурации, позволяя злоумышленнику с сетевым доступом к системе BIG-IP через управляемые порты и/или IP-адреса выполнять произвольные системные команды. Примечание: версии программного обеспечения, которые достигли конца технической поддержки (EoTS), не оцениваются.
CVE-2021-22992В версиях BIG-IP 16.0.x до 16.0.1.1, 15.1.x до 15.1.2.1, 14.1.x до 14.1.4, 13.1.x до 13.1.3.6, 12.1.x до 12.1.5.3 и 11.6.x до 11.6.5.3, вредоносный HTTP-ответ на виртуальный сервер Advanced WAF/BIG-IP ASM с настроенной страницей входа в систему в его политике может вызвать переполнение буфера, приводящее к DoS-атаке. В определенных ситуациях это может позволить выполнить удаленное выполнение кода (RCE), что приведет к полному компрометации системы. Примечание: версии программного обеспечения, достигшие End of Software Development (EoSD), не оцениваются.
CVE-2021-22991В версиях BIG-IP 16.0.x до 16.0.1.1, 15.1.x до 15.1.2.1, 14.1.x до 14.1.4, 13.1.x до 13.1.3.6 и 12.1.x до 12.1.5.3, нераскрытые запросы к виртуальному серверу могут быть некорректно обработаны нормализацией URI Traffic Management Microkernel (TMM), что может вызвать переполнение буфера, приводящее к DoS-атаке. В определенных ситуациях это теоретически может позволить обойти контроль доступа на основе URL или удаленное выполнение кода (RCE). Примечание: версии программного обеспечения, достигшие End of Software Development (EoSD), не оцениваются.
CVE-2021-22986В версиях BIG-IP 16.0.x до 16.0.1.1, 15.1.x до 15.1.2.1, 14.1.x до 14.1.4, 13.1.x до 13.1.3.6 и 12.1.x до 12.1.5.3 и BIG-IQ 7.1.0.x до 7.1.0.3 и 7.0.0.x до 7.0.0.2 интерфейс iControl REST имеет уязвимость неаутентифицированного удаленного выполнения команд. Примечание: версии программного обеспечения, достигшие End of Software Development (EoSD), не оцениваются.
CVE-2020-5902В версиях BIG-IP 15.0.0-15.1.0.3, 14.1.0-14.1.2.5, 13.1.0-13.1.3.3, 12.1.0-12.1.5.1 и 11.6.1-11.6.5.1 пользовательский интерфейс управления трафиком (TMUI), также называемый утилитой Configuration, имеет уязвимость удаленного выполнения кода (RCE) на нераскрытых страницах.
CVE-2021-22989В версиях BIG-IP 16.0.x до 16.0.1.1, 15.1.x до 15.1.2.1, 14.1.x до 14.1.4, 13.1.x до 13.1.3.6, 12.1.x до 12.1.5.3 и 11.6.x до 11.6.5.3, при работе в режиме Appliance с настроенными Advanced WAF или BIG-IP ASM, TMUI, также называемый утилитой Configuration, имеет уязвимость аутентифицированного удаленного выполнения команд на нераскрытых страницах. Примечание: версии программного обеспечения, достигшие End of Software Development (EoSD), не оцениваются.
CVE-2025-21087Когда на виртуальном сервере настроены SSL-профили клиента или сервера или используются операции подписи DNSSEC, нераскрытый трафик может привести к увеличению использования памяти и ресурсов ЦП.
Примечание: Версии программного обеспечения, достигшие окончания технической поддержки (EoTS), не оцениваются.
CVE-2025-20058Когда профиль маршрутизации сообщений BIG-IP настроен на виртуальном сервере, нераскрытый трафик может вызвать увеличение использования ресурсов памяти. Примечание: программные версии, для которых истек срок технической поддержки (EoTS), не подлежат оценке.
CVE-2023-46748Уязвимость SQL-инъекции с аутентификацией существует в утилите конфигурации BIG-IP, что
может позволить аутентифицированному злоумышленнику с сетевым доступом к утилите конфигурации через управляющий порт BIG-IP и/или IP-адреса самообслуживания выполнять произвольные системные команды.
Примечание: программные версии, которые достигли конца технической поддержки (EoTS), не оцениваются.
CVE-2021-23029В версии 16.0.x до 16.0.1.2, недостаточные проверки разрешений могут позволить аутентифицированным пользователям с правами гостя выполнять атаки Server-Side Request Forgery (SSRF) через F5 Advanced Web Application Firewall (WAF) и утилиту BIG-IP ASM Configuration. Примечание: версии программного обеспечения, достигшие End of Technical Support (EoTS), не оцениваются.
CVE-2021-23026BIG-IP версии 16.0.x до 16.0.1.2, 15.1.x до 15.1.3, 14.1.x до 14.1.4.2, 13.1.x до 13.1.4.1 и все версии 12.1.x и 11.6.x и все версии BIG-IQ 8.x, 7.x и 6.x уязвимы для атак cross-site request forgery (CSRF) через iControl SOAP. Примечание: версии программного обеспечения, достигшие End of Technical Support (EoTS), не оцениваются.
CVE-2021-23025В версиях 15.1.x до 15.1.0.5, 14.1.x до 14.1.3.1, 13.1.x до 13.1.3.5 и во всех версиях 12.1.x и 11.6.x существует уязвимость аутентифицированного удаленного выполнения команд в утилите BIG-IP Configuration. Примечание: версии программного обеспечения, достигшие End of Technical Support (EoTS), не оцениваются.
CVE-2021-23014В версиях 16.0.x до 16.0.1.1, 15.1.x до 15.1.3 и 14.1.x до 14.1.4, в BIG-IP Advanced WAF и ASM отсутствуют проверки авторизации для загрузки файлов в определенный каталог в REST API, что может позволить аутентифицированным пользователям с правами гостя загружать файлы. Примечание: версии программного обеспечения, достигшие End of Technical Support (EoTS), не оцениваются.
CVE-2021-22993В BIG-IP Advanced WAF и BIG-IP ASM версиях 16.0.x до 16.0.1.1, 15.1.x до 15.1.2, 14.1.x до 14.1.3.1, 13.1.x до 13.1.3.6 и 12.1.x до 12.1.5.3, DOM-based XSS на странице свойств профиля DoS. Примечание: версии программного обеспечения, достигшие End of Software Development (EoSD), не оцениваются.
CVE-2021-22988В версиях BIG-IP 16.0.x до 16.0.1.1, 15.1.x до 15.1.2.1, 14.1.x до 14.1.4, 13.1.x до 13.1.3.6, 12.1.x до 12.1.5.3 и 11.6.x до 11.6.5.3, TMUI, также называемый утилитой Configuration, имеет уязвимость аутентифицированного удаленного выполнения команд на нераскрытых страницах. Примечание: версии программного обеспечения, достигшие End of Software Development (EoSD), не оцениваются.
CVE-2020-5922В версиях BIG-IP 15.0.0-15.1.0.4, 14.1.0-14.1.2.6, 13.1.0-13.1.3.3, 12.1.0-12.1.5.1 и 11.6.1-11.6.5.2 iControl REST не реализует защиту от межсайтовой подделки запросов для пользователей, которые используют базовую аутентификацию в веб-браузере.
CVE-2025-61990При использовании многолопастной платформы с более чем одним лезвием нераскрытый трафик может привести к прекращению микроядер управления трафиком (TMM). Примечание: версии программного обеспечения, которые достигли конца технической поддержки (EoTS), не оцениваются.
CVE-2025-61951Нераскрытый трафик может привести к прекращению микроядер управления трафиком (TMM). Эта проблема может возникнуть, когда виртуальный сервер Datagram Transport Layer Security (DTLS) 1.2 включен с профилем Server SSL, который настроен с сертификатом, ключом и набором SSL Sign Hash к ANY, а сервер бэкэнда включен с DTLS 1.2 и аутентификацией клиента. Примечание: Программные версии, которые достигли конца технической поддержки (E).
CVE-2025-61938Когда политика безопасности BIG-IP Advanced WAF или ASM настроена с URL-адресом длиной более 1024 символов для настройки защиты данных, вручную или через автоматический конструктор политики, процесс bd может заканчиваться неоднократно. Примечание: версии программного обеспечения, которые достигли конца технической поддержки (EoTS), не оцениваются.
CVE-2025-61935Когда политика безопасности BIG IP Advanced WAF или ASM настроена на виртуальном сервере, нераскрытые запросы могут привести к прекращению bd процесса. Примечание: версии программного обеспечения, которые достигли конца технической поддержки (EoTS), не оцениваются.
CVE-2025-59781Когда кэш DNS настроен на виртуальном сервере BIG-IP или BIG-IP Next CNF, нераскрытые DNS-запросы могут вызвать увеличение использования ресурсов памяти. Примечание: версии программного обеспечения, которые достигли конца технической поддержки (EoTS), не оцениваются.
CVE-2025-58071Когда IPsec настроен на систему BIG-IP, нераскрытый трафик может привести к прекращению микрокерна управления трафиком (TMM). Примечание: версии программного обеспечения, которые достигли конца технической поддержки (EoTS), не оцениваются.