CVE-2022-1388

CVE

Критический KEVПодтвержденаЭксплойт есть

В F5 BIG-IP версий 16.1.x до 16.1.2.2, версий 15.1.x до 15.1.5.1, версий 14.1.x до 14.1.4.6, версий 13.1.x до 13.1.5 и всех версий 12.1.x и…

CVSS

9.8

Критический

EPSS

0.94

p99

Опубликовано

2022-01-01

Обновлено

2022-05-10

Описание

В F5 BIG-IP версий 16.1.x до 16.1.2.2, версий 15.1.x до 15.1.5.1, версий 14.1.x до 14.1.4.6, версий 13.1.x до 13.1.5 и всех версий 12.1.x и 11.6.x нераскрытые запросы могут обходить аутентификацию iControl REST. Примечание: версии программного обеспечения, достигшие окончания технической поддержки (EoTS), не оцениваются.

Теги · CWE

KEVБез аутентификации

CWE-306

CAPEC-12

CAPEC-36

CAPEC-62

CAPEC-166

CAPEC-216

Затронутые продукты

Big-ip_access_policy_manager 11.6.1–11.6.5Big-ip_access_policy_manager 12.1.0–12.1.6Big-ip_access_policy_manager 13.1.0–13.1.5Big-ip_access_policy_manager 14.1.0–14.1.4.6Big-ip_access_policy_manager 15.1.0–15.1.5.1Big-ip_access_policy_manager 16.1.0–16.1.2.2Big-ip_advanced_firewall_manager 11.6.1–11.6.5Big-ip_advanced_firewall_manager 12.1.0–12.1.6Big-ip_advanced_firewall_manager 13.1.0–13.1.5Big-ip_advanced_firewall_manager 14.1.0–14.1.4.6Big-ip_advanced_firewall_manager 15.1.0–15.1.5.1Big-ip_advanced_firewall_manager 16.1.0–16.1.2.2Big-ip_analytics 11.6.1–11.6.5Big-ip_analytics 12.1.0–12.1.6Big-ip_analytics 13.1.0–13.1.5Big-ip_analytics 14.1.0–14.1.4.6Big-ip_analytics 15.1.0–15.1.5.1Big-ip_analytics 16.1.0–16.1.2.2Big-ip_application_acceleration_manager 11.6.1–11.6.5Big-ip_application_acceleration_manager 12.1.0–12.1.6Big-ip_application_acceleration_manager 13.1.0–13.1.5Big-ip_application_acceleration_manager 14.1.0–14.1.4.6Big-ip_application_acceleration_manager 15.1.0–15.1.5.1Big-ip_application_acceleration_manager 16.1.0–16.1.2.2Big-ip_application_security_manager 11.6.1–11.6.5Big-ip_application_security_manager 12.1.0–12.1.6Big-ip_application_security_manager 13.1.0–13.1.5Big-ip_application_security_manager 14.1.0–14.1.4.6Big-ip_application_security_manager 15.1.0–15.1.5.1Big-ip_application_security_manager 16.1.0–16.1.2.2Big-ip_domain_name_system 11.6.1–11.6.5Big-ip_domain_name_system 12.1.0–12.1.6Big-ip_domain_name_system 13.1.0–13.1.5Big-ip_domain_name_system 14.1.0–14.1.4.6Big-ip_domain_name_system 15.1.0–15.1.5.1Big-ip_domain_name_system 16.1.0–16.1.2.2Big-ip_fraud_protection_service 11.6.1–11.6.5Big-ip_fraud_protection_service 12.1.0–12.1.6Big-ip_fraud_protection_service 13.1.0–13.1.5Big-ip_fraud_protection_service 14.1.0–14.1.4.6Big-ip_fraud_protection_service 15.1.0–15.1.5.1Big-ip_fraud_protection_service 16.1.0–16.1.2.2Big-ip_global_traffic_manager 11.6.1–11.6.5Big-ip_global_traffic_manager 12.1.0–12.1.6Big-ip_global_traffic_manager 13.1.0–13.1.5Big-ip_global_traffic_manager 14.1.0–14.1.4.6Big-ip_global_traffic_manager 15.1.0–15.1.5.1Big-ip_global_traffic_manager 16.1.0–16.1.2.2Big-ip_link_controller 11.6.1–11.6.5Big-ip_link_controller 12.1.0–12.1.6Big-ip_link_controller 13.1.0–13.1.5Big-ip_link_controller 14.1.0–14.1.4.6Big-ip_link_controller 15.1.0–15.1.5.1Big-ip_link_controller 16.1.0–16.1.2.2Big-ip_local_traffic_manager 11.6.1–11.6.5Big-ip_local_traffic_manager 12.1.0–12.1.6Big-ip_local_traffic_manager 13.1.0–13.1.5Big-ip_local_traffic_manager 14.1.0–14.1.4.6Big-ip_local_traffic_manager 15.1.0–15.1.5.1Big-ip_local_traffic_manager 16.1.0–16.1.2.2Big-ip_policy_enforcement_manager 11.6.1–11.6.5Big-ip_policy_enforcement_manager 12.1.0–12.1.6Big-ip_policy_enforcement_manager 13.1.0–13.1.5Big-ip_policy_enforcement_manager 14.1.0–14.1.4.6Big-ip_policy_enforcement_manager 15.1.0–15.1.5.1Big-ip_policy_enforcement_manager 16.1.0–16.1.2.2

Вектор CVSS

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Хронология

2022-01-01

Опубликована

2022-05-10

Добавлена в KEV

2022-05-10

Обновлена

Разбор CVSS 3.1

Вектор атаки

AV: N

Сеть (N)

Сложность атаки

AC: L

Низкая (L)

Требуемые привилегии

PR: N

Отсутствуют (N)

Взаимодействие с пользователем

UI: N

Отсутствует (N)

Область воздействия

S: U

Неизменная (U)

Воздействие на конфиденциальность

C: H

Высокое (H)

Воздействие на целостность

I: H

Высокое (H)

Воздействие на доступность

A: H

Высокое (H)

Индикаторы эксплуатации

EPSS

0.945 · p99

Известна эксплуатация (KEV)

Да

Проверки Сканер-ВС

50932

exploitdb · https://www.exploit-db.com/exploits/50932

Enterprise

CVE-2022-1388

github-poc · https://github.com/r0otk3r/CVE-2022-1388

Enterprise

Уязвимое ПО

Продукт	Вендор	Статус
big-ip_access_policy_manager	*	Эксплуатируется
big-ip_advanced_firewall_manager	*	Эксплуатируется
big-ip_analytics	*	Эксплуатируется
big-ip_application_acceleration_manager	*	Эксплуатируется
big-ip_application_security_manager	*	Эксплуатируется
big-ip_domain_name_system	*	Эксплуатируется
big-ip_fraud_protection_service	*	Эксплуатируется
big-ip_global_traffic_manager	*	Эксплуатируется
big-ip_link_controller	*	Эксплуатируется
big-ip_local_traffic_manager	*	Эксплуатируется
big-ip_policy_enforcement_manager	*	Эксплуатируется

Источники данных

CVE

Связанные уязвимости

BDU:2022-02849