Big-ip Application Acceleration Manager
Уязвимости
485
Эксплуатируемые
11
Макс. CVSS
9.9
Макс. EPSS
0.99999
Распределение по критичности
Критический
36
Высокий
269
Средний
175
Низкий
5
Затронутые диапазоны версий
11.2.1–11.5.511.2.1–11.5.611.2.1–11.5.811.2.1–11.6.311.2.1–11.6.411.4.0–11.5.111.4.0–11.5.311.4.0–11.5.411.4.0–11.6.011.4.0–11.6.111.4.0–11.6.411.5.0–11.5.411.5.0–11.5.511.5.0–11.5.611.5.0–11.5.911.5.1–11.5.411.5.1–11.5.511.5.1–11.5.611.5.1–11.5.811.5.1–11.5.911.5.1–11.6.111.5.1–11.6.311.5.1–11.6.3.411.5.1–11.6.4
Также сопоставлено как (исходные строки): big-ip_analytics,big-ip_application_security_manager,big-ip_link_controller,big-ip_domain_name_system,big-ip_fraud_protection_service,big-ip_global_traffic_manager,big-ip_local_traffic_manager,big-ip_policy_enforcement_manager,big-ip_advanced_firewall_manager,big-ip_advanced_web_application_firewall,big-ip_access_policy_manager,big-ip_application_acceleration_manager
Топ уязвимостей
CVE-2023-41373В утилите настройки BIG-IP существует уязвимость, связанная с обходом каталогов, которая может позволить аутентифицированному злоумышленнику выполнять команды в системе BIG-IP. Для системы BIG-IP, работающей в режиме Appliance, успешная эксплуатация может позволить злоумышленнику пересечь границу безопасности.
Примечание: Версии программного обеспечения, для которых истек срок технической поддержки (EoTS), не оцениваются.
CVE-2021-22987В версиях BIG-IP 16.0.x до 16.0.1.1, 15.1.x до 15.1.2.1, 14.1.x до 14.1.4, 13.1.x до 13.1.3.6, 12.1.x до 12.1.5.3 и 11.6.x до 11.6.5.3 при работе в режиме Appliance, пользовательский интерфейс управления трафиком (TMUI), также называемый утилитой Configuration, имеет уязвимость аутентифицированного удаленного выполнения команд на нераскрытых страницах. Примечание: версии программного обеспечения, достигшие End of Software Development (EoSD), не оцениваются.
CVE-2023-46747Неопубликованные запросы могут обойти аутентификацию утилиты конфигурации, позволяя злоумышленнику с сетевым доступом к системе BIG-IP через управляемые порты и/или IP-адреса выполнять произвольные системные команды. Примечание: версии программного обеспечения, которые достигли конца технической поддержки (EoTS), не оцениваются.
CVE-2022-35728В BIG-IP версий 17.0.x до 17.0.0.1, 16.1.x до 16.1.3.1, 15.1.x до 15.1.6.1, 14.1.x до 14.1.5.1 и всех версий 13.1.x, а также BIG-IQ версии 8.x до 8.2.0 и всех версий 7.x, токен iControl REST аутентифицированного пользователя может оставаться действительным в течение ограниченного времени после выхода из утилиты Configuration. Примечание: Версии программного обеспечения, которые достигли End of Technical Support (EoTS), не оцениваются.
CVE-2022-1388В F5 BIG-IP версий 16.1.x до 16.1.2.2, версий 15.1.x до 15.1.5.1, версий 14.1.x до 14.1.4.6, версий 13.1.x до 13.1.5 и всех версий 12.1.x и 11.6.x нераскрытые запросы могут обходить аутентификацию iControl REST. Примечание: версии программного обеспечения, достигшие окончания технической поддержки (EoTS), не оцениваются.
CVE-2021-22992В версиях BIG-IP 16.0.x до 16.0.1.1, 15.1.x до 15.1.2.1, 14.1.x до 14.1.4, 13.1.x до 13.1.3.6, 12.1.x до 12.1.5.3 и 11.6.x до 11.6.5.3, вредоносный HTTP-ответ на виртуальный сервер Advanced WAF/BIG-IP ASM с настроенной страницей входа в систему в его политике может вызвать переполнение буфера, приводящее к DoS-атаке. В определенных ситуациях это может позволить выполнить удаленное выполнение кода (RCE), что приведет к полному компрометации системы. Примечание: версии программного обеспечения, достигшие End of Software Development (EoSD), не оцениваются.
CVE-2021-22991В версиях BIG-IP 16.0.x до 16.0.1.1, 15.1.x до 15.1.2.1, 14.1.x до 14.1.4, 13.1.x до 13.1.3.6 и 12.1.x до 12.1.5.3, нераскрытые запросы к виртуальному серверу могут быть некорректно обработаны нормализацией URI Traffic Management Microkernel (TMM), что может вызвать переполнение буфера, приводящее к DoS-атаке. В определенных ситуациях это теоретически может позволить обойти контроль доступа на основе URL или удаленное выполнение кода (RCE). Примечание: версии программного обеспечения, достигшие End of Software Development (EoSD), не оцениваются.
CVE-2021-22986В версиях BIG-IP 16.0.x до 16.0.1.1, 15.1.x до 15.1.2.1, 14.1.x до 14.1.4, 13.1.x до 13.1.3.6 и 12.1.x до 12.1.5.3 и BIG-IQ 7.1.0.x до 7.1.0.3 и 7.0.0.x до 7.0.0.2 интерфейс iControl REST имеет уязвимость неаутентифицированного удаленного выполнения команд. Примечание: версии программного обеспечения, достигшие End of Software Development (EoSD), не оцениваются.
CVE-2020-5902В версиях BIG-IP 15.0.0-15.1.0.3, 14.1.0-14.1.2.5, 13.1.0-13.1.3.3, 12.1.0-12.1.5.1 и 11.6.1-11.6.5.1 пользовательский интерфейс управления трафиком (TMUI), также называемый утилитой Configuration, имеет уязвимость удаленного выполнения кода (RCE) на нераскрытых страницах.
CVE-2019-6675Конфигурации BIG-IP, использующие Active Directory, LDAP или Client Certificate LDAP для аутентификации управления с несколькими серверами, подвержены уязвимости, которая позволяет обойти аутентификацию. Это может привести к полному компрометации системы. Эта проблема затрагивает только определенные инженерные хотфиксы, использующие вышеупомянутую конфигурацию аутентификации. ПРИМЕЧАНИЕ: Эта уязвимость не влияет ни на один из основных, дополнительных или служебных выпусков BIG-IP, полученных с downloads.f5.com. Затронутые сборки Engineering Hotfix следующие: Hotfix-BIGIP-14.1.0.3.0.79.6-ENG.iso, Hotfix-BIGIP-14.1.0.3.0.97.6-ENG.iso, Hotfix-BIGIP-14.1.0.3.0.99.6-ENG.iso, Hotfix-BIGIP-14.1.0.5.0.15.5-ENG.iso, Hotfix-BIGIP-14.1.0.5.0.36.5-ENG.iso, Hotfix-BIGIP-14.1.0.5.0.40.5-ENG.iso, Hotfix-BIGIP-14.1.0.6.0.11.9-ENG.iso, Hotfix-BIGIP-14.1.0.6.0.14.9-ENG.iso, Hotfix-BIGIP-14.1.0.6.0.68.9-ENG.iso, Hotfix-BIGIP-14.1.0.6.0.70.9-ENG.iso, Hotfix-BIGIP-14.1.2.0.11.37-ENG.iso, Hotfix-BIGIP-14.1.2.0.18.37-ENG.iso, Hotfix-BIGIP-14.1.2.0.32.37-ENG.iso, Hotfix-BIGIP-14.1.2.1.0.46.4-ENG.iso, Hotfix-BIGIP-14.1.2.1.0.14.4-ENG.iso, Hotfix-BIGIP-14.1.2.1.0.16.4-ENG.iso, Hotfix-BIGIP-14.1.2.1.0.34.4-ENG.iso, Hotfix-BIGIP-14.1.2.1.0.97.4-ENG.iso, Hotfix-BIGIP-14.1.2.1.0.99.4-ENG.iso, Hotfix-BIGIP-14.1.2.1.0.105.4-ENG.iso, Hotfix-BIGIP-14.1.2.1.0.111.4-ENG.iso, Hotfix-BIGIP-14.1.2.1.0.115.4-ENG.iso, Hotfix-BIGIP-14.1.2.1.0.122.4-ENG.iso, Hotfix-BIGIP-15.0.1.0.33.11-ENG.iso, Hotfix-BIGIP-15.0.1.0.48.11-ENG.iso.
CVE-2019-6609Специфическое для платформы слабое место. Эта проблема затрагивает только платформы iSeries. На этих платформах в BIG-IP (LTM, AAM, AFM, Analytics, APM, ASM, DNS, Edge Gateway, FPS, GTM, Link Controller, PEM, WebAccelerator) версий 14.0.0-14.1.0.1, 13.0.0-13.1.1.3 и 12.1.1 HF2-12.1.4 не был установлен атрибут secureKeyCapable, что приводит к тому, что безопасное хранилище не использует аппаратную поддержку F5 для хранения ключа устройства. Вместо этого ключ устройства хранится в виде открытого текста на диске, как и в случае систем Z100. Кроме того, это приводит к тому, что ключ устройства хранится в UCS-файлах, снятых на этих платформах.
CVE-2018-5506В F5 BIG-IP 13.0.0, 12.1.0-12.1.2, 11.6.1, 11.5.1-11.5.5 или 11.2.1 модули Apache apache_auth_token_mod и mod_auth_f5_auth_token.cpp допускают возможный несанкционированный перебор параметров авторизации em_server_ip для получения SSL-сертификатов клиента, используемых для взаимной аутентификации между BIG-IQ или Enterprise Manager (EM) и управляемыми устройствами BIG-IP.
CVE-2017-6165В F5 BIG-IP LTM, AAM, AFM, Analytics, APM, ASM, DNS, GTM, Link Controller, PEM и WebSafe 11.5.1 HF6 до 11.5.4 HF4, 11.6.0 до 11.6.1 HF1 и 12.0.0 до 12.1.2 только на платформах VIPRION скрипт, который синхронизирует элементы конфигурации SafeNet External Network HSM между blade в кластерной развертке, будет регистрировать пароль раздела HSM в виде открытого текста в файле журнала "/var/log/ltm".
CVE-2017-6131В некоторых случаях экземпляр облака F5 BIG-IP версии 12.0.0–12.1.2 и 13.0.0 Azure может содержать пароль администратора по умолчанию, который можно использовать для удаленного входа в систему BIG-IP. Затронутой учетной записью администратора является учетная запись администратора экземпляра Azure, созданная при развертывании. Учетные записи root и admin не уязвимы. Злоумышленник может получить удаленный доступ к хосту BIG-IP через SSH.
CVE-2016-5700Виртуальные серверы в системах F5 BIG-IP 11.5.0, 11.5.1 до HF11, 11.5.2, 11.5.3, 11.5.4 до HF2, 11.6.0 до HF8, 11.6.1 до HF1, 12.0.0 до HF4 и 12.1.0 до HF2, при настройке с функциональностью HTTP Explicit Proxy или профилем SOCKS, позволяют удаленным злоумышленникам изменять конфигурацию системы, читать системные файлы и, возможно, выполнять произвольный код через неуказанные векторы.
CVE-2016-5022F5 BIG-IP LTM, Analytics, APM, ASM и Link Controller 11.2.x до 11.2.1 HF16, 11.3.x, 11.4.x, 11.5.x до 11.5.4 HF2, 11.6.x до 11.6.1 HF1 и 12.x до 12.0.0 HF3; BIG-IP AAM, AFM и PEM 11.4.x, 11.5.x до 11.5.4 HF2, 11.6.x до 11.6.1 HF1 и 12.x до 12.0.0 HF3; BIG-IP DNS 12.x до 12.0.0 HF3; BIG-IP Edge Gateway, WebAccelerator и WOM 11.2.x до 11.2.1 HF16 и 11.3.0; BIG-IP GTM 11.2.x до 11.2.1 HF16, 11.3.x, 11.4.x, 11.5.x до 11.5.4 HF2 и 11.6.x до 11.6.1 HF1; BIG-IP PSM 11.2.x до 11.2.1 HF16, 11.3.x и 11.4.0 - 11.4.1; Enterprise Manager 3.1.1; BIG-IQ Cloud and Security 4.0.0 - 4.5.0; BIG-IQ Device 4.2.0 - 4.5.0; BIG-IQ ADC 4.5.0; BIG-IQ Centralized Management 5.0.0; BIG-IQ Cloud and Orchestration 1.0.0 и iWorkflow 2.0.0, когда фильтрация пакетов включена на виртуальных серверах и, возможно, на собственных IP-адресах, позволяют удаленным злоумышленникам вызвать отказ в обслуживании (перезапуск Traffic Management Microkernel) и, возможно, оказать другое неопределенное воздействие через специально созданный сетевой трафик.
CVE-2015-8611BIG-IP LTM, AAM, AFM, Analytics, APM, ASM, DNS, Link Controller и PEM 12.0.0 до HF1 на платформах 2000, 4000, 5000, 7000 и 10000 неправильно синхронизируют пароли с подсистемой Always-On Management (AOM), что может позволить удаленным злоумышленникам получить доступ к AOM через (1) устаревший или (2) пароль по умолчанию.
CVE-2014-7169GNU Bash до 4.3 bash43-025 обрабатывает конечные строки после некоторых неправильно сформированных определений функций в значениях переменных среды, что позволяет удаленным злоумышленникам записывать в файлы или потенциально оказывать неизвестное другое воздействие через специально подготовленную среду, что продемонстрировано векторами, связанными с функцией ForceCommand в OpenSSH sshd, модулями mod_cgi и mod_cgid в Apache HTTP Server, скриптами, выполняемыми неуточненными DHCP-клиентами, и другими ситуациями, в которых установка окружения происходит через границу привилегий от выполнения Bash. ПРИМЕЧАНИЕ: эта уязвимость существует из-за неполной исправительной меры для CVE-2014-6271.
CVE-2014-6271GNU Bash до версии 4.3 обрабатывает завершающие строки после определений функций в значениях переменных окружения, что позволяет удаленным злоумышленникам выполнять произвольный код через подготовленную среду, что демонстрируется в векторах, связанных с функцией ForceCommand в OpenSSH sshd, модулях mod_cgi и mod_cgid в Apache HTTP Server, скриптах, выполняемых неопределенными клиентами DHCP, и других ситуациях, в которых происходит настройка среды через границу привилегий при выполнении Bash, также известная как "ShellShock." ПРИМЕЧАНИЕ: первоначальная исправленная версия этой проблемы была неверной; CVE-2014-7169 было присвоено для охвата уязвимости, которая все еще присутствует после неверного исправления.
CVE-2021-23037Во всех версиях 16.1.x, 16.0.x, 15.1.x, 14.1.x, 13.1.x, 12.1.x и 11.6.x существует отраженная уязвимость межсайтового скриптинга (XSS) на нераскрываемой странице утилиты конфигурации BIG-IP, которая позволяет злоумышленнику выполнять JavaScript в контексте текущего зарегистрированного пользователя. Примечание: версии программного обеспечения, достигшие окончания технической поддержки (EoTS), не оцениваются.
CVE-2020-5948В BIG-IP версий 16.0.0-16.0.0.1, 15.1.0-15.1.0.5, 14.1.0-14.1.2.7, 13.1.0-13.1.3.4, 12.1.0-12.1.5.2 и 11.6.1-11.6.5.2 нераскрытые конечные точки в iControl REST допускают отраженную XSS-атаку, которая может привести к полному компрометации системы BIG-IP, если пользователю-жертве предоставлена роль администратора.
CVE-2019-6644Аналогично проблеме, выявленной в CVE-2018-12120, в версиях 14.1.0-14.1.0.5, 14.0.0-14.0.0.4, 13.0.0-13.1.2 и 12.1.0-12.1.4 BIG-IP будет привязывать процесс отладки nodejs ко всем интерфейсам при вызове. Это может предоставить процесс неавторизованным пользователям, если плагин оставлен в режиме отладки, а порт доступен.
CVE-2014-2927Демон rsync в F5 BIG-IP 11.6 до 11.6.0, 11.5.1 до HF3, 11.5.0 до HF4, 11.4.1 до HF4, 11.4.0 до HF7, 11.3.0 до HF9 и 11.2.1 до HF11 и Enterprise Manager 3.x до 3.1.1 HF2, при настройке в режиме failover, не требует аутентификации, что позволяет удаленным злоумышленникам читать или записывать произвольные файлы через запрос cmi к IP-адресу ConfigSync.
CVE-2022-35243В BIG-IP версий 16.1.x до 16.1.3, 15.1.x до 15.1.5.1, 14.1.x до 14.1.5 и во всех версиях 13.1.x, при работе в режиме Appliance, аутентифицированный пользователь, которому назначена роль администратора, может обойти ограничения режима Appliance, используя нераскрытую конечную точку iControl REST. Успешная эксплуатация может позволить злоумышленнику пересечь границу безопасности. Примечание: версии программного обеспечения, достигшие окончания технической поддержки (EoTS), не оцениваются.
CVE-2022-34865В BIG-IP версий 15.1.x до 15.1.6.1, 14.1.x до 14.1.5 и всех версий 13.1.x, каналы Traffic Intelligence, использующие HTTPS, не проверяют идентификацию удаленной конечной точки, что позволяет потенциально отравлять данные. Примечание: Версии программного обеспечения, достигшие End of Technical Support (EoTS), не оцениваются.