【漏洞預警】F5 BIG-IP iControl REST 身份認證繞過漏洞

1. 通告信息

近日，安識科技A-Team團隊監測到一則F5 BIG-IP iControl REST 身份認證繞過漏洞的信息，當前官方已發布升級補丁以修復漏洞。

對此，安識科技建議廣大用戶及時升級到安全版本,并做好資產自查以及預防工作，以免遭受黑客攻擊。

2. 漏洞概述

BIG-IP 是 F5 公司的一款應用交付平臺。借助 BIG-IP 應用程序交付控制器保持應用程序正常運行。BIG-IP 本地流量管理器 (LTM) 和 BIG-IP DNS 能夠處理應用程序流量并保護基礎設施。

CVE-2022-1388

未經身份驗證的攻擊者可以通過管理端口或自身 IP 地址對 BIG-IP 系統進行網絡訪問，執行任意系統命令、創建或刪除文件或禁用服務。

3. 漏洞危害

攻擊者可以未授權通過管理端口或自身 IP 地址對 BIG-IP 系統進行網絡訪問，執行任意系統命令、創建或刪除文件或禁用服務。

4. 影響版本

11.6.1 - 11.6.5

12.1.0 - 12.1.6

13.1.0 - 13.1.4

14.1.0 - 14.1.4

15.1.0 - 15.1.5

16.1.0 - 16.1.2

5. 解決方案

參考漏洞影響范圍，目前F5官方已給出解決方案，可升級至不受影響版本或參考官網文件進行修復：https://support.f5.com/csp/article/K23605346

6. 時間軸

【-】2022年5月6日 安識科技A-Team團隊監測到F5官方發布安全補丁

【-】2022年5月6日 安識科技A-Team團隊根據官方公告分析

【-】2022年5月6日 安識科技A-Team團隊發布安全通告