10критическая
BDU:2022-06935
Уязвимость интерфейса iControl SOAP средств контроля доступа и удаленной аутентификации BIG-IP и серверного программного обеспечения BIG-IQ Centralized Management, позволяющая нарушителю выполнить произвольные команд с повышенными привилегиями
Опубликовано: 2022-11-23
Описание
Уязвимость интерфейса iControl SOAP средств контроля доступа и удаленной аутентификации BIG-IP и серверного программного обеспечения BIG-IQ Centralized Management связана с подделкой межсайтовых запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные команд с повышенными привилегиями
Затрагиваемое ПО и версии
BIG-IQ Centralized Management (от 8.0.0 до 8.2.0 включительно)BIG-IQ Centralized Management (от 7.0.0 до 7.1.0 включительно)BIG-IP Access Policy Manager (от 13.1.0 до 13.1.5 включительно)BIG-IP Advanced Firewall Manager (от 13.1.0 до 13.1.5 включительно)BIG-IP Analytics (от 13.1.0 до 13.1.5 включительно)BIG-IP Application Acceleration Manager (от 13.1.0 до 13.1.5 включительно)BIG-IP Fraud Protection Service (от 13.1.0 до 13.1.5 включительно)BIG-IP Global Traffic Manager (от 13.1.0 до 13.1.5 включительно)BIG-IP Link Controller (от 13.1.0 до 13.1.5 включительно)BIG-IP Local Traffic Manager (от 13.1.0 до 13.1.5 включительно)BIG-IP Policy Enforcement Manager (от 13.1.0 до 13.1.5 включительно)BIG-IP Access Policy Manager (17.0.0)BIG-IP Access Policy Manager (от 16.1.0 до 16.1.3 включительно)BIG-IP Access Policy Manager (от 15.1.0 до 15.1.8 включительно)BIG-IP Access Policy Manager (от 14.1.0 до 14.1.5 включительно)BIG-IP Advanced Firewall Manager (17.0.0)BIG-IP Advanced Firewall Manager (от 16.1.0 до 16.1.3 включительно)BIG-IP Advanced Firewall Manager (от 15.1.0 до 15.1.8 включительно)BIG-IP Advanced Firewall Manager (от 14.1.0 до 14.1.5 включительно)BIG-IP Analytics (от 14.1.0 до 14.1.5 включительно)BIG-IP Analytics (от 15.1.0 до 15.1.8 включительно)BIG-IP Analytics (от 16.1.0 до 16.1.3 включительно)BIG-IP Analytics (17.0.0)BIG-IP Application Acceleration Manager (от 14.1.0 до 14.1.5 включительно)BIG-IP Application Acceleration Manager (от 15.1.0 до 15.1.8 включительно)BIG-IP Application Acceleration Manager (от 16.1.0 до 16.1.3 включительно)BIG-IP Application Acceleration Manager (17.0.0)BIG-IP DNS (17.0.0)BIG-IP DNS (от 16.1.0 до 16.1.3 включительно)BIG-IP DNS (от 15.1.0 до 15.1.8 включительно)
Способ устранения
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- отключение аутентификации для iControl SOAP:
1. Войти в оболочку управления трафиком (tmsh), введя следующую команду:
tmsh
2. Отключить обычную аутентификацию для iControl SOAP, введя следующую команду:
modify sys db icontrol.basic_auth value disable
3. Сохранить конфигурацию, введя следующую команду:
save sys config
- ограничение доступа к iControl SOAP API
1. Войти в оболочку управления трафиком (tmsh), введя следующую команду:
tmsh
2. Удалить все IP-адреса из списка разрешенных, введя следующую команду:
modify /sys icontrol-soap allow replace-all-with {}
3. Сохранить конфигурацию, введя следующую команду:
save sys config
Использование рекомендаций производителя:
https://support.f5.com/csp/article/K94221585
Оценка CVSS
| Балл | 10 — критическая опасность |
Источники и патчи