F5 BIG-IP是F5公司的一款集成了网络流量管理、应用程序安全管理、负载均衡等功能的应用交付平台。

3月10日,负载均衡厂商F5发布了安全更新,修复了旗下应用交互平台中发现的远程命令执行等高危漏洞。云安以下是漏洞详情：

漏洞详情

来源：https://support.f5.com/csp/article/K02566623?spm=a2c4g.11174386.n2.3.71bc1051chIcXa

1.CVE全日-2021-22987 CVSS评分：9.9 严重程度：重要

在设备模式下运行时，流量管理用户界面（TMUI）（也称为配置实用程序）在未公开的页面中具有经过身份验证的远程命令执行漏洞。

2.CVE-2021-报222986 CVSS评分：9.8 严重程度：重要

iControl REST界面具有未经身份验证的远程命令执行漏洞。

3.CVE-2021-22991 CVSS评分：9.0 严重程度：重要

流量管理微内核（TMM）URI规范10化可能会错误地处理对虚拟服务器的未公开请求，这可能会触发缓冲区溢出，从而导致拒绝服务攻击。在某些情况下，理论上它可以允许绕过基于URL的访问控制或远程代码执行（RCE）。

4.CVE-2021-22992 CVS31S评分：9.0 严重程度：重要

对策略中配置了“登录页面”的Advanced WAF / BIG-IP ASM虚拟服务器的恶意HTTP响应可能会触发缓冲区溢出，从而导致DoS攻击。在某些情况下，它可能允许远程执行代码（R1：CE），从而导致完整的系统危害。

5.CVE-2021-22988 CVSS评分：8.8 严重程度：高

TMUI，也称为“配置”实用程序，在未公开的页面中具有经过身份验证的远程命令执行漏洞。

6.CVE-2021-2F52989 CVSS评分：8.0 严重程度：高

当在具有高级WAF或BIG-IP ASM设置的设备模式下运行时，TMUI（也称为配置实用程序）在未公开的页面中具有经过身份验证的远程命令执行漏洞。

7.CVE-2021负载-22990 CVSS评分：6.6 严重程度：中

在配备了高级WAF或BIG-IP ASM的系统上，TMUI（也称为配置实用程序）在未公开的页面中具有经过身份验证的远程命令执行漏洞。

受影响产品及版本

CVE-202均衡1-22986 影响版本：

F5 BIG-IP 16.0.0-16.0.1

F5 BIG-IP 15.1.0-15.1.2

F5 BIG-IP 14.1.0-14.1.3.1

F5 BIG-IP 13.1.0-13.1.3.5

F5厂商 BIG-IP 12.1.0-12.1.5.2

F5 BIG-IQ 7.1.0-7.1.0.2

F5 BIG-IQ 7.0.0-7.0.0.1

F5 BIG-IQ 6.0.0-6.1.0

CVE-2021-22987，CVE-202应用1-22988，CVE-2021-22989，CVE-2021-22990 影响版本：

F5 BIG-IP 16.0.0-16.0.1

F5 BIG-IP 15.1.0-15.1.2

F5 BIG-IP 14.1.0-1交付4.1.3.1

F5 BIG-IP 13.1.0-13.1.3.5

F5 BIG-IP 12.1.0-12.1.5.2

F5 BIG-IP 11.6.1-11.6.5.2

解决方案

建议将F5 BIG-IP / BIG-IQ 升级平台至官方安全版本。

官方参考地址：https://support.f5.com/csp/article/K02566623

查看更多漏洞信息 以及升级请访问官网：

https://support.f5.com发现/csp/bug-tracker

• ·标签: 中通 申通 圆通 极兔
• ·最高提速20亿倍！AI引爆物理模拟引擎革命
• ·标签: 361度 361童装 ONEWAY 超品店
• ·南网总调深化“云+AI”战略，与阿里云签订人工智能合作备忘录
• ·标签: 瑞声科技 AI感知 散热业务 电磁传动
• ·Firefox 142 正式上线：浏览器扩展首次支持本地 AI 语言模型
• ·云计算核心技术Docker教程：自动启动容器
• ·世界自然遗产有哪些
• ·标签: 大唐移动 小米 专利纠纷 FRAND
• ·标签: 吐司 腾讯 vibe coding 应用生成
• ·标签: 长鑫科技 朱一明 DRAM 兆易创新
• ·云安全日报210506：Ubuntu NVIDIA图形驱动程序发现信息泄露漏洞，需要尽快升级
• ·标签: 华大北斗 北斗芯片 比亚迪 格力创投
• ·标签: 鸿蒙智行 我是大彬同学 骠骑尉—松亭先生 名誉侵权
• ·持续集成流水线中的制品管理（Nexus）
• ·标签: 奶牛快传 稿定设计 停止服务 文件传输