• 我的位置：
  • 首頁
  • -
  • 漏洞預(yù)警
  • -
  • 應(yīng)用
  • -
    • F5 BIG-IP多個漏洞安全通告
    • CNNVD編號：未知
    • 危害等級： 高危 
    • CVE編號：CVE-2021-23025-CVE-2021-23037
    • 漏洞類型： 未知
    • 威脅類型：未知
    • 廠       商：未知
    • 漏洞來源：深信服
    • 發(fā)布時間：2021-08-27
    • 更新時間：2021-08-27

    漏洞簡介

    1、組件介紹

    F5 BIG-IP是美國F5公司的一款集成了網(wǎng)絡(luò)流量管理、應(yīng)用程序安全管理、負載均衡等功能的應(yīng)用交付平臺。

    2、漏洞簡介

    2021年8月24日，深信服安全團隊監(jiān)測到一則F5官方發(fā)布安全更新通告，共修復(fù)了13個高危漏洞。

    序號

    漏洞名

    漏洞編號

    嚴重等級

    影響版本

    1

    BIG-IP TMUI 遠程命令執(zhí)行漏洞

    CVE-2021-23025

    高危

    15.0.0 ≤ BIG-IP ≤ 15.1.0

    14.1.0 ≤ BIG-IP ≤ 14.1.3

    13.1.0 ≤ BIG-IP ≤ 13.1.3

    12.1.0 ≤ BIG-IP ≤ 12.1.6

    11.6.1 ≤ BIG-IP ≤ 11.6.5

    2

    BIG-IP和BIG-IQ跨站請求偽造漏洞

    CVE-2021-23026

    高危

    16.0.0 ≤ BIG-IP ≤ 16.0.1

    15.1.0 ≤ BIG-IP ≤ 15.1.2

    14.1.0 ≤ BIG-IP ≤ 14.1.4

    13.1.0 ≤ BIG-IP ≤ 13.1.4

    12.1.0 ≤ BIG-IP ≤ 12.1.6

    11.6.1 ≤ BIG-IP ≤ 11.6.5

    8.0.0 ≤ BIG-IQ ≤ 8.1.0

    7.0.0 ≤ BIG-IQ ≤ 7.1.0

    6.0.0 ≤ BIG-IQ ≤ 6.1.0

    3

    BIG-IP TMUI跨站腳本漏洞

    CVE-2021-23027

    高危

    16.0.0 ≤ BIG-IP ≤ 16.0.1

    15.1.0 ≤ BIG-IP ≤ 15.1.2

    14.1.0 ≤ BIG-IP ≤ 14.1.4

    4

    BIG-IP ASM拒絕服務(wù)漏洞

    CVE-2021-23028

    高危

    16.0.0 ≤ BIG-IP ≤ 16.0.1

    15.1.0 ≤ BIG-IP ≤ 15.1.3

    14.1.0 ≤ BIG-IP ≤ 14.1.4

    13.1.0 ≤ BIG-IP ≤ 13.1.3

    5

    BIG-IP ASM TMUI服務(wù)端請求偽造漏洞

    CVE-2021-23029


    高危

    16.0.0 ≤ BIG-IP ≤ 16.0.1

    6

    BIG-IP拒絕服務(wù)漏洞

    CVE-2021-23030

    高危

    16.0.0 ≤ BIG-IP ≤ 16.0.1

    15.1.0 ≤ BIG-IP ≤ 15.1.3

    14.1.0 ≤ BIG-IP ≤ 14.1.4

    13.1.0 ≤ BIG-IP ≤ 13.1.4

    12.1.0 ≤ BIG-IP ≤ 12.1.6

    7

    BIG-IP權(quán)限提升漏洞

    CVE-2021-23031

    高危

    16.0.0 ≤ BIG-IP ≤ 16.0.1

    15.1.0 ≤ BIG-IP ≤ 15.1.2

    14.1.0 ≤ BIG-IP ≤ 14.1.4

    13.1.0 ≤ BIG-IP ≤ 13.1.3

    12.1.0 ≤ BIG-IP ≤ 12.1.5

    11.6.1 ≤ BIG-IP ≤ 11.6.5

    8

    BIG-IP DNS漏洞

    CVE-2021-23032

    高危

    16.0.0 ≤ BIG-IP ≤ 16.0.1

    15.1.0 ≤ BIG-IP ≤ 15.1.3

    14.1.0 ≤ BIG-IP ≤ 14.1.4

    13.1.0 ≤ BIG-IP ≤ 13.1.4

    12.1.0 ≤ BIG-IP ≤ 12.1.6

    9

    BIG-IP拒絕服務(wù)漏洞

    CVE-2021-23033

    高危

    16.0.0 ≤ BIG-IP ≤ 16.0.1

    15.1.0 ≤ BIG-IP ≤ 15.1.3

    14.1.0 ≤ BIG-IP ≤ 14.1.4

    13.1.0 ≤ BIG-IP ≤ 13.1.4

    12.1.0 ≤ BIG-IP ≤ 12.1.6

    10

    BIG-IP TMM漏洞

    CVE-2021-23034

    高危

    16.0.0 ≤ BIG-IP ≤ 16.0.1

    15.1.0 ≤ BIG-IP ≤ 15.1.3

    11

    BIG-IP TMM漏洞

    CVE-2021-23035

    高危

    14.1.0 ≤ BIG-IP ≤ 14.1.4

    12

    BIG-IP TMM漏洞

    CVE-2021-23036

    高危

    16.0.0 ≤ BIG-IP ≤ 16.0.1

    13

    BIG-IP TMUI XSS漏洞

    CVE-2021-23037

    高危

    16.0.0 ≤ BIG-IP ≤ 16.1.0

    15.1.0 ≤ BIG-IP ≤ 15.1.3

    14.1.0 ≤ BIG-IP ≤ 14.1.4

    13.1.0 ≤ BIG-IP ≤ 13.1.4

    12.1.0 ≤ BIG-IP ≤ 12.1.6

    11.6.1 ≤ BIG-IP ≤ 11.6.5

    漏洞公示

    高危漏洞描述

    BIG-IP TMUI遠程命令執(zhí)行漏洞 CVE-2021-23025

        該漏洞是由于配置實用程序中存在漏洞，攻擊者可利用該漏洞在獲得權(quán)限的情況下，構(gòu)造惡意數(shù)據(jù)執(zhí)行遠程命令執(zhí)行攻擊，最終造成獲得服務(wù)器權(quán)限。


    BIG-IP和BIG-IQ跨站請求偽造漏洞 CVE-2021-23026

        該漏洞是由于過濾不嚴，攻擊者可利用該漏洞在未授權(quán)的情況下，構(gòu)造惡意數(shù)據(jù)執(zhí)行跨站請求偽造攻擊，最終可能導(dǎo)致系統(tǒng)完全受損。


    BIG-IP TMUI跨站腳本漏洞 CVE-2021-23027

        該漏洞是由于過濾不嚴，攻擊者可利用該漏洞在未授權(quán)的情況下，構(gòu)造惡意數(shù)據(jù)執(zhí)行跨站腳本攻擊，最終可能導(dǎo)致系統(tǒng)完全受損。


    BIG-IP ASM拒絕服務(wù)漏洞 CVE-2021-23028

        該漏洞是由于BIG-IP ASM bd進程重新啟動時流量會中斷，攻擊者可利用該漏洞在獲得權(quán)限的情況下，構(gòu)造惡意數(shù)據(jù)執(zhí)行拒絕服務(wù)攻擊，最終可能導(dǎo)致系統(tǒng)終止服務(wù)。


    BIG-IP ASM TMUI服務(wù)端請求偽造漏洞 CVE-2021-23029

        該漏洞是由于權(quán)限檢查不足，攻擊者可利用該漏洞在獲得一定權(quán)限的情況下，構(gòu)造惡意數(shù)據(jù)執(zhí)行服務(wù)端請求偽造攻擊，最終可能導(dǎo)致系統(tǒng)受損。


    BIG-IP拒絕服務(wù)漏洞 CVE-2021-23030

        該漏洞是由于bd進程重啟時流量會中斷，攻擊者可利用該漏洞在未授權(quán)的情況下，構(gòu)造惡意數(shù)據(jù)執(zhí)行跨站拒絕服務(wù)攻擊，最終可能導(dǎo)致系統(tǒng)服務(wù)終止。


    BIG-IP權(quán)限提升漏洞 CVE-2021-23031

        該漏洞是由于系統(tǒng)缺陷，攻擊者可利用該漏洞在獲得權(quán)限的情況下，構(gòu)造惡意數(shù)據(jù)進行權(quán)限提升攻擊并執(zhí)行任意系統(tǒng)命令，最終可能導(dǎo)致系統(tǒng)完全受損。


    BIG-IP DNS漏洞 CVE-2021-23032

        該漏洞由于配置了非默認寬IP和池設(shè)置時，異常的DNS響應(yīng)可能導(dǎo)致流量管理微內(nèi)核終止，攻擊者可利用該漏洞在未授權(quán)的情況下，構(gòu)造惡意數(shù)據(jù)執(zhí)行拒絕服務(wù)攻擊，最終可能導(dǎo)致系統(tǒng)受損。


    BIG-IP拒絕服務(wù)漏洞 CVE-2021-23033

        該漏洞是由于bd進程重啟時流量會中斷，攻擊者可利用該漏洞在未授權(quán)的情況下，構(gòu)造惡意數(shù)據(jù)執(zhí)行拒絕服務(wù)攻擊，最終導(dǎo)致防火墻服務(wù)終止。


    BIG-IP TMM漏洞 CVE-2021-23034

        該漏洞是由于在虛擬服務(wù)器上配置使用DNS緩存解析器的DNS配置文件時，未公開的請求可能會導(dǎo)致流量管理微內(nèi)核 (TMM) 進程終止，攻擊者可利用該漏洞在未授權(quán)的情況下，構(gòu)造惡意數(shù)據(jù)執(zhí)行拒絕服務(wù)攻擊，最終可能導(dǎo)致系統(tǒng)受損。


    BIG-IP TMM漏洞 CVE-2021-23035

        該漏洞是由于在虛擬服務(wù)器上配置HTTP配置文件時，在特定的數(shù)據(jù)包序列之后，分塊響應(yīng)可能會導(dǎo)致流量管理微內(nèi)核(TMM)終止，攻擊者可利用該漏洞在未授權(quán)的情況下，構(gòu)造惡意數(shù)據(jù)執(zhí)行拒絕服務(wù)攻擊，最終可能導(dǎo)致系統(tǒng)受損。


    BIG-IP TMM漏洞 CVE-2021-23036

        該漏洞是由于在虛擬服務(wù)器上配置BIG-IP ASM和DataSafe配置文件時，未公開的請求可能會導(dǎo)致流量管理微內(nèi)核(TMM)終止，攻擊者可利用該漏洞在未授權(quán)的情況下，構(gòu)造惡意數(shù)據(jù)執(zhí)行拒絕服務(wù)攻擊，最終可能導(dǎo)致系統(tǒng)受損。


    BIG-IP TMUI XSS漏洞 CVE-2021-23037

        該漏洞是由于BIG-IP 配置實用程序的一個未公開頁面中存在一個跨站點腳本漏洞，攻擊者可利用該漏洞在未授權(quán)的情況下，構(gòu)造惡意數(shù)據(jù)執(zhí)行XSS攻擊，最終可能導(dǎo)致系統(tǒng)受損。

    受影響實體

    F5 BIG-IP集成了網(wǎng)絡(luò)流量管理、應(yīng)用程序安全管理、負載均衡等功能。全球有上百萬臺服務(wù)器運行該平臺，可能受漏洞影響的資產(chǎn)廣泛分布于世界各地。

    全球范圍內(nèi)主要分布在美國、中國和澳大利亞。國內(nèi)主要分布在上海、北京、廣東等地。

    補丁

    1、如何檢測組件系統(tǒng)版本

        Tmsh模式下輸入：

    show sys version


    2、官方修復(fù)建議

    當前官方已發(fā)布最新版本及受影響版本的對應(yīng)補丁，建議受影響的用戶及時更新升級到最新版本或更新官方的安全補丁。鏈接如下：

    https://support.f5.com/csp/article/K9502

    升級方式參考官方文檔：

    https://support.f5.com/csp/article/K13123