| 風險等級： | 高度威脅 |
| 摘 要： | 弱點通告：F5發佈08月份安全性公告，建議請儘速更新! |
| 影響系統： |
|
| 解決辦法： | 請依照 F5官網更新至以下建議版本 BIG-IP 更新至 16.1.0、15.1.3、14.1.4、13.1.3、12.1.6、11.6.5 之後版本 如果您運行的是已知易受攻擊的版本列中列出的版本，則可以通過修復列出的版本來解決此弱點。如果列中引入的修復未列出您的版本，則當前不存在支援的更新，建議升級到具有修復的版本。 |
| 細節描述： | F5 已發布關於2021 年 8 月影響多個版本的 BIG-IP 和 BIG-IQ 的弱點安全公告。1.經過身份驗證的用戶可以在 BIG-IP 高級 WAF 和 ASM TMUI上執行權限提升。當此弱點被利用時，可以訪問配置使用程式，經過身份驗證的攻擊者可以執行任意系統命令、創建或刪除文件和/或禁用服務。此弱點可能會導致系統完全受損。( CVE-2021-23031 )
2.BIG-IP 配置實用程序的一個未公開頁面中存在基於 DOM 的跨站點腳本 (XSS) 弱點，該弱點允許攻擊者在當前登錄用戶的上下文中執行JavaScript。攻擊者可以通過使經過身份驗證的用戶在 BIG-IP 配置實用程式中提交惡意 HTML 或 JavaScript程式碼。如果成功，攻擊者可以在當前登錄用戶的上下文中運行JavaScript。對於具有高級外殼 (bash)訪問權限的管理用戶，攻擊者可以利用成功利用此弱點來破壞 BIG-IP 系統。(CVE-2021-23027 ) 3.BIG-IP 配置實用程式中存在一個經過身份驗證的遠程命令執行弱點。此弱點可能允許經過身份驗證的攻擊者通過 BIG-IP 管理端口和/或自身 IP 地址對配置實用程式進行網絡訪問，以執行任意系統命令、創建或刪除文件或禁用服務。此弱點可能會導致系統完全受損。(CVE-2021-23025 ) 此弱點通告並非所有弱點資訊，詳細資訊請參考F5官網。 |
| 參考資訊： | US-CERT F5 |