F5發佈08月份安全性公告

風險等級: 高度威脅
摘 要: 弱點通告:F5發佈08月份安全性公告,建議請儘速更新!
影響系統:
  • BIG-IP 16.0.1 (含)之前版本
  • BIG-IP 15.1.2 (含)之前版本
  • BIG-IP 14.1.4 (含)之前版本
  • BIG-IP 13.1.3 (含)之前版本
  • BIG-IP 12.1.5 (含)之前版本
  • BIG-IP 11.6.5 之前版本
解決辦法: 請依照 F5官網更新至以下建議版本
BIG-IP 更新至 16.1.0、15.1.3、14.1.4、13.1.3、12.1.6、11.6.5 之後版本
如果您運行的是已知易受攻擊的版本列中列出的版本,則可以通過修復列出的版本來解決此弱點。如果列中引入的修復未列出您的版本,則當前不存在支援的更新,建議升級到具有修復的版本。
細節描述: F5 已發布關於2021 年 8 月影響多個版本的 BIG-IP 和 BIG-IQ 的弱點安全公告。1.經過身份驗證的用戶可以在 BIG-IP 高級 WAF 和 ASM TMUI上執行權限提升。當此弱點被利用時,可以訪問配置使用程式,經過身份驗證的攻擊者可以執行任意系統命令、創建或刪除文件和/或禁用服務。此弱點可能會導致系統完全受損。( CVE-2021-23031 )

2.BIG-IP 配置實用程序的一個未公開頁面中存在基於 DOM 的跨站點腳本 (XSS) 弱點,該弱點允許攻擊者在當前登錄用戶的上下文中執行JavaScript。攻擊者可以通過使經過身份驗證的用戶在 BIG-IP 配置實用程式中提交惡意 HTML 或 JavaScript程式碼。如果成功,攻擊者可以在當前登錄用戶的上下文中運行JavaScript。對於具有高級外殼 (bash)訪問權限的管理用戶,攻擊者可以利用成功利用此弱點來破壞 BIG-IP 系統。(CVE-2021-23027 )

3.BIG-IP 配置實用程式中存在一個經過身份驗證的遠程命令執行弱點。此弱點可能允許經過身份驗證的攻擊者通過 BIG-IP 管理端口和/或自身 IP 地址對配置實用程式進行網絡訪問,以執行任意系統命令、創建或刪除文件或禁用服務。此弱點可能會導致系統完全受損。(CVE-2021-23025 )

此弱點通告並非所有弱點資訊,詳細資訊請參考F5官網。

參考資訊: US-CERT
F5