【漏洞资讯】F5 8月多个安全漏洞

漏洞时间:2021年8月24日

 

漏洞介绍

F5发布安全更新,修复了其BIG-IP等产品中的29个安全漏洞。这些漏洞包括经过身份验证的远程命令执行、XSS、CSRF、SSRF和拒绝服务等。

本次修复的高危漏洞为13个,除CVE-2021-23031之外,其它漏洞的CVSS评分范围为7.2-7.5,5个漏洞影响了 WAF 和 ASM,1个漏洞影响了 DNS 模块。

其中包括一个在特定条件下被利用时评级为严重的漏洞,该漏洞的CVE编号为CVE-2021-23031,是 BIG-IP Web 应用防火墙 (WAF) 和应用安全管理器 (ASM) 流量管理用户界面 (TMUI) 上的权限提升漏洞。该漏洞的CVSS评分为8.8,经过身份验证且具有配置实用程序访问权限的攻击者可以利用此漏洞来提升权限,最终可以执行任意系统命令、创建或删除任意文件、禁用服务等。但如果应用了设备模式,该漏洞的CVSS评分将提升为9.9。

漏洞名称
F5 8月多个安全漏洞
威胁等级
高危
漏洞威胁
F5
影响范围
见WIKI详情
漏洞类型
RCE&MORE
利用难度
N/A
漏洞编号
CVE-2021-23025~CVE-2021-23037
是否有POC
N/A

 

信息详情

CVE ID
严重性
CVSS评分
受影响产品
受影响版本
修复版本
CVE-2021-23025
7.2
BIG-IP(所有模块)
15.0.0 - 15.1.0
  14.1.0 - 14.1.3
  13.1.0 - 13.1.3
  12.1.0 - 12.1.6
  11.6.1 - 11.6.5
16.0.0
  15.1.0.5
  14.1.3.1
  13.1.3.5
CVE-2021-23026
7.5
BIG-IP(所有模块)
16.0.0 - 16.0.1
  15.1.0 - 15.1.2
  14.1.0 - 14.1.4
  13.1.0 - 13.1.4
12.1.0 - 12.1.6
  11.6.1 - 11.6.5
16.1.0
  16.0.1.2
  15.1.3
  14.1.4.2
  13.1.4.1
BIG-IQ
8.0.0 - 8.1.0
  7.0.0 - 7.1.0
  6.0.0 - 6.1.0
CVE-2021-23027
7.5
BIG-IP(所有模块)
16.0.0 - 16.0.1
  15.1.0 - 15.1.2
  14.1.0 - 14.1.4
16.1.0
  16.0.1.2
  15.1.3.1
  14.1.4.3
CVE-2021-23028
7.5
BIG-IP(WAF、ASM)
16.0.1
  15.1.1 - 15.1.3
  14.1.3.1 - 14.1.4.1
  13.1.3.5 - 13.1.3.6
16.1.0
  16.0.1.2
  15.1.3.1
  14.1.4.2
  13.1.4
CVE-2021-23029
7.5
BIG-IP(WAF、ASM)
16.0.0 - 16.0.1
16.1.0
  16.0.1.2
CVE-2021-23030
7.5
BIG-IP(WAF、ASM)
16.0.0 - 16.0.1
  15.1.0 - 15.1.3
  14.1.0 - 14.1.4
  13.1.0 - 13.1.4
12.1.0 - 12.1.6
16.1.0
  16.0.1.2
  15.1.3.1
  14.1.4.3
  13.1.4.1
CVE-2021-23031
高/严重 ( 仅设备模式)
8.8/
9.9
BIG-IP(WAF、ASM)
16.0.0 - 16.0.1
  15.1.0 - 15.1.2
  14.1.0 - 14.1.4
  13.1.0 - 13.1.3
  12.1.0 - 12.1.5
  11.6.1 - 11.6.5
16.1.0
  16.0.1.2
  15.1.3
  14.1.4.1
  13.1.4
  12.1.6
  11.6.5.3
CVE-2021-23032
7.5
BIG-IP (DNS)
16.0.0 - 16.0.1
15.1.0 - 15.1.3
14.1.0 - 14.1.4
13.1.0 - 13.1.4
12.1.0 - 12.1.6
16.1.0
  15.1.3.1
  14.1.4.4
CVE-2021-23033
7.5
BIG-IP(WAF、ASM)
16.0.0 - 16.0.1
15.1.0 - 15.1.3
14.1.0 - 14.1.4
13.1.0 - 13.1.4
12.1.0 - 12.1.6
16.1.0
  15.1.3.1
  14.1.4.3
  13.1.4.1
CVE-2021-23034
7.5
BIG-IP
16.0.0 - 16.0.1
  15.1.0 - 15.1.3
16.1.0
  15.1.3.1
CVE-2021-23035
7.5
BIG-IP
14.1.0 - 14.1.4
14.1.4.4
CVE-2021-23036
7.5
BIG-IP(WAF、ASM、DataSafe)
16.0.0 - 16.0.1
16.1.0
  16.0.1.2
CVE-2021-23037
7.5
BIG-IP
16.0.0 - 16.1.0
15.1.0 - 15.1.3
14.1.0 - 14.1.4
13.1.0 - 13.1.4
12.1.0 - 12.1.6
11.6.1 - 11.6.5

修复方式

目前这些漏洞已在部分版本中修复,F5 建议客户将 BIG-IP 设备至少更新或升级到 BIG-IP 14.1.0,将 BIG-IP VE 至少更新或升级到 BIG-IP 15.1.0,建议参考官方公告及时升级更新。

下载链接:

https://support.f5.com/csp/article/K50974556

参考链接

https://support.f5.com/csp/article/K50974556

https://www.bleepingcomputer.com/news/security/critical-f5-big-ip-bug-impacts-customers-in-sensitive-sectors/

https://securityaffairs.co/wordpress/121454/security/f5-big-ip-critical-flaw.html?

本文原创,作者:Galaxy,其版权均为Galaxy Lab所有。如需转载,请注明出处:http://galaxylab.pingan.com.cn/%e3%80%90%e6%bc%8f%e6%b4%9e%e8%b5%84%e8%ae%af%e3%80%91f5-8%e6%9c%88%e5%a4%9a%e4%b8%aa%e5%ae%89%e5%85%a8%e6%bc%8f%e6%b4%9e/

发表评论

*