BDU:2025-02003

Опубликовано: 05 фев. 2025

Источник: fstec

CVSS3: 8.8

CVSS2: 9

EPSS Средний

Описание

Уязвимость утилиты конфигурации TMOS Shell (tmsh) интерфейса IControl REST редства контроля доступа и удаленной аутентификации BIG-IP Access Policy Manager, а также программных средств, BIG-IP Advanced Firewall Manager, BIG-IP Advanced Web Application Firewall, BIG-IP Analytics, BIG-IP Application Acceleration Manager, BIG-IP Application Security Manager, BIG-IP Application Visibility and Reporting (AVR), BIG-IP Camer-Grade NAT (CGNAT), BIG-IP DDos Hybrid Defender, BIG-IP Domain Name System, BIG-IP Edge Gateway, BIG-IP Fraud Protection Service, BIG-IP Global Traffic Manager, BIG-IP Link Controller, BIG-IP Local Traffic Manager, BIG-IP Policy Inforcement Manager, BIG-IP SSL Orchestrator, BIG-IP Webaccelerator, BIG-IP WebSafe существует из-за непринятия мер по нейтрализации специальных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнять произвольные команды

Вендор

F5 Networks, Inc.

Наименование ПО

BIG-IP Access Policy Manager

BIG-IP Advanced Firewall Manager

BIG-IP Advanced Web Application Firewall

BIG-IP Analytics

BIG-IP Application Acceleration Manager

BIG-IP Application Security Manager

BIG-IP Application Visibility and Reporting (AVR)

BIG-IP Carrier-Grade NAT (CGNAT)

BIG-IP DDos Hybrid Defender

BIG-IP Domain Name System

BIG-IP Edge Gateway

BIG-IP Fraud Protection Service

BIG-IP Global Traffic Manager

BIG-IP Link Controller

BIG-IP Local Traffic Manager

BIG-IP Policy Enforcement Manager

BIG-IP SSL Orchestrator

BIG-IP Webaccelerator

BIG-IP WebSafe

Версия ПО

до 17.2.1 (BIG-IP Access Policy Manager)

до 16.1.5.2 (BIG-IP Access Policy Manager)

до 15.1.10.6 (BIG-IP Access Policy Manager)

до 17.1.2.1 (BIG-IP Advanced Firewall Manager)

до 16.1.5.2 (BIG-IP Advanced Firewall Manager)

до 15.1.10.6 (BIG-IP Advanced Firewall Manager)

до 17.1.2.1 (BIG-IP Advanced Web Application Firewall)

до 16.1.5.2 (BIG-IP Advanced Web Application Firewall)

до 15.1.10.6 (BIG-IP Advanced Web Application Firewall)

до 17.1.2.1 (BIG-IP Analytics)

до 16.1.5.2 (BIG-IP Analytics)

до 15.1.10.6 (BIG-IP Analytics)

до 17.1.2.1 (BIG-IP Application Acceleration Manager)

до 16.1.5.2 (BIG-IP Application Acceleration Manager)

до 15.1.10.6 (BIG-IP Application Acceleration Manager)

до 17.1.2.1 (BIG-IP Application Security Manager)

до 16.1.5.2 (BIG-IP Application Security Manager)

до 15.1.10.6 (BIG-IP Application Security Manager)

до 17.1.2.1 (BIG-IP Application Visibility and Reporting (AVR))

до 16.1.5.2 (BIG-IP Application Visibility and Reporting (AVR))

до 15.1.10.6 (BIG-IP Application Visibility and Reporting (AVR))

до 17.1.2.1 (BIG-IP Carrier-Grade NAT (CGNAT))

до 16.1.5.2 (BIG-IP Carrier-Grade NAT (CGNAT))

до 15.1.10.6 (BIG-IP Carrier-Grade NAT (CGNAT))

до 17.1.2.1 (BIG-IP DDos Hybrid Defender)

до 16.1.5.2 (BIG-IP DDos Hybrid Defender)

до 15.1.10.6 (BIG-IP DDos Hybrid Defender)

до 17.1.2.1 (BIG-IP Domain Name System)

до 16.1.5.2 (BIG-IP Domain Name System)

до 15.1.10.6 (BIG-IP Domain Name System)

до 17.1.2.1 (BIG-IP Edge Gateway)

до 16.1.5.2 (BIG-IP Edge Gateway)

до 15.1.10.6 (BIG-IP Edge Gateway)

до 17.1.2.1 (BIG-IP Fraud Protection Service)

до 16.1.5.2 (BIG-IP Fraud Protection Service)

до 15.1.10.6 (BIG-IP Fraud Protection Service)

до 17.1.2.1 (BIG-IP Global Traffic Manager)

до 16.1.5.2 (BIG-IP Global Traffic Manager)

до 15.1.10.6 (BIG-IP Global Traffic Manager)

до 17.1.2.1 (BIG-IP Link Controller)

до 16.1.5.2 (BIG-IP Link Controller)

до 15.1.10.6 (BIG-IP Link Controller)

до 17.1.2.1 (BIG-IP Local Traffic Manager)

до 16.1.5.2 (BIG-IP Local Traffic Manager)

до 15.1.10.6 (BIG-IP Local Traffic Manager)

до 17.1.2.1 (BIG-IP Policy Enforcement Manager)

до 16.1.5.2 (BIG-IP Policy Enforcement Manager)

до 15.1.10.6 (BIG-IP Policy Enforcement Manager)

до 17.1.2.1 (BIG-IP SSL Orchestrator)

до 16.1.5.2 (BIG-IP SSL Orchestrator)

до 15.1.10.6 (BIG-IP SSL Orchestrator)

до 17.1.2.1 (BIG-IP Webaccelerator)

до 16.1.5.2 (BIG-IP Webaccelerator)

до 15.1.10.6 (BIG-IP Webaccelerator)

до 17.1.2.1 (BIG-IP WebSafe)

до 16.1.5.2 (BIG-IP WebSafe)

до 15.1.10.6 (BIG-IP WebSafe)

Тип ПО

ПО сетевого программно-аппаратного средства

Сетевое средство

Прикладное ПО информационных систем

Средство защиты

Программное средство защиты

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)

Высокий уровень опасности (оценка CVSS 4.0 составляет 8,7)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование «белого» списка IP-адресов для организации доступа к уязвимому программному обеспечению;

- блокирование доступа к утилите tmsh;

- ограничение доступа к интерфейсу IControl REST;

- использование средств обнаружения и предотвращения вторжений для контроля сетевого трафика по 22 , 443 и 8443 TCP-портам;

- отключение/удаление неиспользуемых учётных записей пользователей;

- минимизация пользовательских привилегий.

Использование рекомендаций производителя:

https://my.f5.com/manage/s/article/K000148587

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-20029
CVE

EPSS

Процентиль: 98%

0.58328

Средний

8.8 High

CVSS3

9 Critical

CVSS2

Связанные уязвимости

CVE-2025-20029

CVSS3: 8.8

nvd

около 1 года назад

Command injection vulnerability exists in iControl REST and BIG-IP TMOS Shell (tmsh) save command, which may allow an authenticated attacker to execute arbitrary system commands. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.

GHSA-mhcp-fqhx-3jmp

CVSS3: 8.8

github

около 1 года назад

EPSS

Процентиль: 98%

0.58328

Средний

8.8 High

CVSS3

9 Critical

CVSS2