Podatność w F5 BIG-IP pozwala nieuwierzytelnionemu atakującemu na obejście mechanizmu uwierzytelnienia narzędzia konfiguracyjnego (configuration utility) i wykonanie dowolnych poleceń systemowych. Zagrożenie jest krytyczne — nie wymaga żadnych uprawnień ani interakcji użytkownika, a exploit jest aktywnie wykorzystywany w atakach.
▸ Pokaż oryginał (EN)
Undisclosed requests may bypass configuration utility authentication, allowing an attacker with network access to the BIG-IP system through the management port and/or self IP addresses to execute arbitrary system commands. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated
Specjalnie spreparowane żądania sieciowe mogą ominąć mechanizmy uwierzytelnienia interfejsu konfiguracyjnego BIG-IP (bazując na technice AJP Smuggling w komponencie TMUI). Atakujący posiadający dostęp sieciowy do systemu przez port zarządzania (management port) lub adresy self IP może w ten sposób wydawać dowolne polecenia systemowe bez wcześniejszego zalogowania. Podatność wynika z braku właściwej weryfikacji tożsamości dla określonych ścieżek żądań (CWE-288, CWE-306).
Atakujący może przejąć pełną kontrolę nad urządzeniem BIG-IP, wykonując dowolne polecenia z poziomem uprawnień systemu operacyjnego, co może prowadzić do kompromitacji poufności, integralności i dostępności całego systemu.
Należy zastosować patche dostępne u producenta zgodnie z referencjami (F5 Security Advisory K000137353). Dodatkowo zaleca się ograniczenie dostępu sieciowego do portu zarządzania oraz adresów self IP wyłącznie do zaufanych hostów i sieci, jako środek zaradczy do czasu wdrożenia łatki.
F5 BIG-IP Access Policy Manager — wersje wskazane w referencjach producenta (wersje, które osiągnęły status End of Technical Support, nie są objęte oceną)
Podatność jest aktywnie eksploitowana — F5 potwierdziło jej wykorzystanie w łańcuchach ataków (exploit chain). Dostępny jest publicznie działający exploit demonstrujący technikę AJP Smuggling w TMUI (Packet Storm Security). CISA umieściła CVE-2023-46747 w katalogu znanych eksploatowanych podatności (KEV).
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HF5 Big Ip Access Policy Manager
APPF513.1.0 – 13.1.514.1.0 – 14.1.515.1.0 – 15.1.1016.1.0 – 16.1.417.1.0 – 17.1.1F5 Big Ip Advanced Firewall Manager
APPF513.1.0 – 13.1.514.1.0 – 14.1.515.1.0 – 15.1.1016.1.0 – 16.1.417.1.0 – 17.1.1F5 Big Ip Advanced Web Application Firewall
APPF513.1.0 – 13.1.514.1.0 – 14.1.515.1.0 – 15.1.1016.1.0 – 16.1.417.1.0 – 17.1.1F5 Big Ip Analytics
APPF516.1.0 – 16.1.413.1.0 – 13.1.514.1.0 – 14.1.515.1.0 – 15.1.1017.1.0 – 17.1.1F5 Big Ip Application Acceleration Manager
APPF516.1.0 – 16.1.413.1.0 – 13.1.514.1.0 – 14.1.515.1.0 – 15.1.1017.1.0 – 17.1.1F5 Big Ip Application Security Manager
APPF513.1.0 – 13.1.517.1.0 – 17.1.116.1.0 – 16.1.415.1.0 – 15.1.1014.1.0 – 14.1.5F5 Big Ip Application Visibility And Reporting
APPF517.1.0 – 17.1.113.1.0 – 13.1.514.1.0 – 14.1.515.1.0 – 15.1.1016.1.0 – 16.1.4F5 Big Ip Automation Toolchain
APPF517.1.0 – 17.1.116.1.0 – 16.1.415.1.0 – 15.1.1014.1.0 – 14.1.513.1.0 – 13.1.5F5 Big Ip Carrier Grade Nat
APPF513.1.0 – 13.1.517.1.0 – 17.1.116.1.0 – 16.1.415.1.0 – 15.1.1014.1.0 – 14.1.5F5 Big Ip Container Ingress Services
APPF513.1.0 – 13.1.514.1.0 – 14.1.515.1.0 – 15.1.1016.1.0 – 16.1.417.1.0 – 17.1.1F5 Big Ip Ddos Hybrid Defender
APPF517.1.0 – 17.1.113.1.0 – 13.1.514.1.0 – 14.1.515.1.0 – 15.1.1016.1.0 – 16.1.4F5 Big Ip Domain Name System
APPF515.1.0 – 15.1.1017.1.0 – 17.1.116.1.0 – 16.1.414.1.0 – 14.1.513.1.0 – 13.1.5F5 Big Ip Fraud Protection Services
APPF517.1.0 – 17.1.116.1.0 – 16.1.413.1.0 – 13.1.515.1.0 – 15.1.1014.1.0 – 14.1.5F5 Big Ip Global Traffic Manager
APPF517.1.0 – 17.1.116.1.0 – 16.1.415.1.0 – 15.1.1014.1.0 – 14.1.513.1.0 – 13.1.5F5 Big Ip Link Controller
APPF517.1.0 – 17.1.113.1.0 – 13.1.516.1.0 – 16.1.415.1.0 – 15.1.1014.1.0 – 14.1.5F5 Big Ip Local Traffic Manager
APPF516.1.0 – 16.1.417.1.0 – 17.1.115.1.0 – 15.1.1014.1.0 – 14.1.513.1.0 – 13.1.5F5 Big Ip Policy Enforcement Manager
APPF513.1.0 – 13.1.514.1.0 – 14.1.515.1.0 – 15.1.1016.1.0 – 16.1.417.1.0 – 17.1.1F5 Big Ip Ssl Orchestrator
APPF513.1.0 – 13.1.514.1.0 – 14.1.515.1.0 – 15.1.1016.1.0 – 16.1.417.1.0 – 17.1.1F5 Big Ip Webaccelerator
APPF513.1.0 – 13.1.514.1.0 – 14.1.515.1.0 – 15.1.1016.1.0 – 16.1.417.1.0 – 17.1.1F5 Big Ip Websafe
APPF513.1.0 – 13.1.514.1.0 – 14.1.515.1.0 – 15.1.1016.1.0 – 16.1.417.1.0 – 17.1.1
CISA KEV — szczegółyi
- Dostawcai
- F5 ↗
- Produkti
- BIG-IP Configuration Utility
- Data dodania do KEVi
- 31 października 2023
- Termin remediation (USA)i
- 21 listopada 2023(po terminie)
- Ransomwarei
- Aktywne kampanie ransomware używają tej podatności
Zastosuj mitygacje zgodnie z instrukcjami producenta lub zaprzestań używania produktu, jeśli mitygacje są niedostępne.
▸ Pokaż oryginał (EN)
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Narzędzie konfiguracyjne F5 BIG-IP zawiera podatność umożliwiającą obejście uwierzytelniania za pośrednictwem alternatywnej ścieżki lub kanału z powodu nieujawnionych żądań, która może pozwolić nieuwierzytelnionemu atakującemu z dostępem sieciowym do systemu BIG-IP poprzez port zarządzania i/lub adresy self IP na wykonanie poleceń systemowych. Podatność ta może być wykorzystywana w połączeniu z CVE-2023-46748.
▸ Pokaż oryginał (EN)
F5 BIG-IP Configuration utility contains an authentication bypass using an alternate path or channel vulnerability due to undisclosed requests that may allow an unauthenticated attacker with network access to the BIG-IP system through the management port and/or self IP addresses to execute system commands. This vulnerability can be used in conjunction with CVE-2023-46748.
Powiązane podatności
RCE w F5 BIG-IP APM poprzez złośliwy ruch sieciowy (stack buffer overflow)
F5 BIG-IP: Pominięcie uwierzytelnienia iControl REST (RCE)
Buffer overflow w TMM URI normalization F5 BIG-IP — DoS/RCE
F5 BIG-IP/BIG-IQ iControl REST — nieuwierzytelniony RCE
F5 BIG-IP TMUI — krytyczny RCE przez path traversal (CVE-2020-5902)