Siirry pääsisältöön
Etusivu: Kyberturvallisuuskeskus
Etusivu: Kyberturvallisuuskeskus
Siirry hakuunHae
Suomi
Valikko

F5-laitteissa useita kriittisiä haavoittuvuuksia

Haavoittuvuus10/2021CVSS 9.9

Julkaistu

F5 julkaisi neljä kriittistä haavoittuvuutta, jotka mahdollistavat hyökkääjälle esimerkiksi etänä suoritettavien komentojen avulla järjestelmän haltuun ottamisen. F5-tuotteita on laajasti käytössä ympäri maailmaa - päivitättehän F5-tuotteenne välittömästi.

F5 julkaisi keskiviikkona 10.3 useita kriittisiä haavoittuvuuksia ja päivitykset niihin. Haavoittuvuudet koskevat suurinta osaa BIG-IP ja BIG-IQ -tuotteista. 

CVE-2021-22986 (CVSS 9.8) -haavoittuvuus mahdollistaa iControl REST -rajapintaan etänä suoritettavien komentojen suorittamisen. Haavoittuvuutta hyväksikäyttämällä hyökkääjä voi suorittaa mielivaltaista ohjelmakoodia, muokata tiedostoja sekä poistaa palveluja käytöstä. Haavoittuvuuden hyväksikäyttö voi johtaa järjestelmän täydelliseen haltuunottoon.

CVE-2021-22987 (CVSS 9.9) -haavoittuvuus mahdollistaa mielivaltaisen ohjelmakoodin syöttämisen TMUI:een (Traffic Management User Interface), silloin kun appliance mode on käytössä. Haavoittuvuuden hyväksikäyttö voi johtaa järjestelmän täydelliseen haltuunottoon.

CVE-2021-22991 (CVSS 9.0) -haavoittuvuuden avulla virtuaalipalvelimelle lähetetyt pyynnöt voivat sekoittaa TMM:n (Traffic Management Microkernel) toimintaa, joka voi aiheuttaa puskuriylivuodon. Tämä voi johtaa palvelunestohyökkäykseen.

CVE-2021-22992 (CVSS 9.0) -haavoittuvuuden avulla haitallinen HTTP-vastaus WAF/BIG IP ASM -virtuaalipalvelimelle, jolle on kirjautumissivu määriteltynä, voi aiheuttaa puskuriylivuodon ja palvelunestohyökkäyksen. 

Kohde

  • Palvelimet ja palvelinsovellukset

Hyökkäystapa

  • Etäkäyttö

Vaikutukset

  • Komentojen mielivaltainen suorittaminen
  • Suojauksen ohittaminen
  • Käyttövaltuuksien laajentaminen
  • Tietojen muokkaaminen

Hyväksikäyttömenetelmä tiedossa

  • Ei julkaistu

Ratkaisu

  • Korjaava ohjelmistopäivitys

Haavoittuvuuden kohde

Katso tarkemmat tiedot F5:n omalta haavoittuvuussivulta (Ulkoinen linkki) (ulkoinen linkki)

Mistä on kysymys?

Päivitä F5:t seuraavasti:

BIG-IP versiot, johon tulee päivittää: 16.0.1.1, 15.1.2.1, 14.1.4, 13.1.3.6, 12.1.5.3, ja 11.6.5.3.

CVE-2021-22986 vaikuttaa myös BIG-IQ:n, ja tämä on korjattu versioissa 8.0.0, 7.1.0.3 ja 7.0.0.2.

F5: K02566623: Overview of F5 critical vulnerabilities (March 2021) (ulkoinen linkki) (Ulkoinen linkki)