Новости Критическая брешь в BIG-IP от F5 позволяет хакерам выполнять удалённый код

[NewsMaker]

Компания уже выпустила исправления, а также предложила ряд временных решений для администраторов.

---

---

Транснациональная компания F5 , специализирующаяся на услугах, связанных с интернет-сайтами и приложениями, Для просмотра ссылки Войди или Зарегистрируйся своих клиентов о критической уязвимости в фирменном продукте BIG-IP , которая позволяет осуществлять удалённое выполнение кода без аутентификации.

Данная уязвимость , обнаруженная в компоненте утилиты конфигурации, получила идентификатор Для просмотра ссылки Войди или Зарегистрируйся и была оценена по шкале CVSS в 9,8 из 10 возможных баллов.

Обнаружение уязвимости приписывают исследователям Майклу Веберу и Томасу Хендриксону из компании Praetorian , которые также выпустили свой Для просмотра ссылки Войди или Зарегистрируйся с нюансами работы CVE-2023-46747.

F5 уточнила: «Эта уязвимость может позволить неавторизованному злоумышленнику, имеющему сетевой доступ к системе BIG-IP через порт управления и / или собственные IP-адреса , выполнять произвольные системные команды». Проблема связана только с управляющим интерфейсом продукта.

Компанией были определены следующие уязвимые версии BIG-IP:

• 17.1.0 (Исправлено в 17.1.0.3 + Hotfix-BIGIP-17.1.0.3.0.75.4-ENG);
• 16.1.0 - 16.1.4 (Исправлено в 16.1.4.1 + Hotfix-BIGIP-16.1.4.1.0.50.5-ENG);
• 15.1.0 - 15.1.10 (Исправлено в 15.1.10.2 + Hotfix-BIGIP-15.1.10.2.0.44.2-ENG);
• 14.1.0 - 14.1.5 (Исправлено в 14.1.5.6 + Hotfix-BIGIP-14.1.5.6.0.10.6-ENG);
• 13.1.0 - 13.1.5 (Исправлено в 13.1.5.1 + Hotfix-BIGIP-13.1.5.1.0.20.2-ENG);

В качестве временного решения в F5 предложили использовать Для просмотра ссылки Войди или Зарегистрируйся , который можно применить, начиная с версии 14.1.0. Представители компании сделали акцент, что на версиях BIG-IP ниже 14.1.0 данный скрипт использовать не следует, чтобы не заполучить ещё больших проблем с экземплярами BIG-IP. Сам скрипт и инструкция по его использованию доступны на Для просмотра ссылки Войди или Зарегистрируйся компании.

Дополнительные рекомендации для пользователей включают следующие советы:

• Для просмотра ссылки Войди или Зарегистрируйся ;
• Для просмотра ссылки Войди или Зарегистрируйся .

Стоит отметить, что CVE-2023-46747 является уже третьей по счёту уязвимостью, позволяющей удалённое выполнение кода без аутентификации, обнаруженной в пользовательском интерфейсе BIG-IP TMUI после Для просмотра ссылки Войди или Зарегистрируйся и Для просмотра ссылки Войди или Зарегистрируйся .