CVE-2020-5868

Command Injection w F5 BIG-IQ — zdalne wykonanie poleceń przez HTTP

CVSS 9.8v3.1pub. 2020-04-24upd. 2024-11-21

W F5 BIG-IQ Centralized Management w wersjach 6.0.0–7.0.0 odkryto podatność umożliwiającą zdalnemu, nieuwierzytelnionemu użytkownikowi wykonanie poleceń powłoki systemowej. Podatność jest krytyczna ze względu na brak wymogu uwierzytelnienia i pełną dostępność przez sieć.

▸ Pokaż oryginał (EN)

In BIG-IQ 6.0.0-7.0.0, a remote access vulnerability has been discovered that may allow a remote user to execute shell commands on affected systems using HTTP requests to the BIG-IQ user interface.

🤖 Analiza AI

Jak działa

Atakujący wysyła spreparowane żądania HTTP do interfejsu użytkownika BIG-IQ, które zawierają złośliwe dane wejściowe nieodpowiednio sanityzowane przez aplikację (CWE-78 — command injection). Skutkuje to wykonaniem dowolnych poleceń powłoki w kontekście systemu operacyjnego urządzenia. Atak nie wymaga żadnego uwierzytelnienia ani interakcji ze strony użytkownika.

Skutki

Atakujący może uzyskać pełną kontrolę nad systemem, w tym odczyt i modyfikację danych konfiguracyjnych oraz potencjalne naruszenie poufności, integralności i dostępności zarządzanych zasobów sieciowych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://support.f5.com/csp/article/K37130415). Zaleca się również ograniczenie dostępu do interfejsu zarządzania BIG-IQ wyłącznie do zaufanych adresów IP oraz izolację systemu zarządzania od publicznej sieci.