A local file vulnerability exists in the F5 BIG-IP Configuration utility on versions 13.0.0, 12.1.0-12.1.2, 11.6.1-11.6.3.1, 11.5.1-11.5.5,

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• f5 big-ip access policy manager11.2.1 и новее · до 11.5.5 включительно
• f5 big-ip access policy manager12.1.0 и новее · до 12.1.3
• f5 big-ip access policy manager11.6.0 и новее · до 11.6.3 включительно
• f5 big-ip access policy manager13.0.0
• f5 big-ip advanced firewall manager12.1.0 и новее · до 12.1.3
• f5 big-ip advanced firewall manager11.2.1 и новее · до 11.5.5 включительно
• f5 big-ip advanced firewall manager11.6.0 и новее · до 11.6.3 включительно
• f5 big-ip advanced firewall manager13.0.0
• f5 big-ip analytics11.2.1 и новее · до 11.5.5 включительно
• f5 big-ip analytics13.1.0 и новее · до 13.1.0.4 включительно
• f5 big-ip analytics12.1.0 и новее · до 12.1.3
• f5 big-ip analytics11.6.0 и новее · до 11.6.3 включительно
• f5 big-ip analytics13.0.0
• f5 big-ip application acceleration manager12.1.0 и новее · до 12.1.3
• f5 big-ip application acceleration manager11.6.0 и новее · до 11.6.3 включительно
• f5 big-ip application acceleration manager11.2.1 и новее · до 11.5.5 включительно
• f5 big-ip application acceleration manager13.0.0
• f5 big-ip application security manager12.1.0 и новее · до 12.1.3
• f5 big-ip application security manager11.2.1 и новее · до 11.5.5 включительно
• f5 big-ip application security manager11.6.0 и новее · до 11.6.3 включительно

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (f5). Не зависят от анализа CPE в NVD и обычно опережают его.

• F5 Networks, Inc. BIG-IP (LTM, AAM, AFM, Analytics, APM, ASM, DNS, Edge Gateway, FPS, GTM, Link Controller, PEM, WebAccelerator)

  • 13.0.0, 12.1.0-12.1.2, 11.6.1-11.6.3.1, 11.5.1-11.5.5, 11.2.1затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2018-15331On BIG-IP AAM 13.0.0 or 12.1.0-12.1.3.7, the dcdb_convert utility used by BIG-IP AAM fails to drop group permissions when executing helper s
  31Наблюдать
• CVE-2018-5513On F5 BIG-IP 13.1.0-13.1.0.3, 13.0.0, 12.1.0-12.1.3.3, 11.6.1-11.6.3.1, 11.5.1-11.5.5, or 11.2.1, a malformed TLS handshake causes TMM to cr
  31Наблюдать
• CVE-2016-5736The default configuration of the IPsec IKE peer listener in F5 BIG-IP LTM, Analytics, APM, ASM, and Link Controller 11.2.1 before HF16, 11.4
  31Наблюдать
• CVE-2016-4545Virtual servers in F5 BIG-IP 11.5.4, when SSL profiles are enabled, allow remote attackers to cause a denial of service (resource consumptio
  31Наблюдать
• CVE-2018-5523On F5 BIG-IP 13.1.0-13.1.0.3, 13.0.0, 12.1.0-12.1.3.1, 11.6.1-11.6.3.1, 11.5.1-11.5.5, or 11.2.1 and Enterprise Manager 3.1.1, when authenti
  29Наблюдать
• CVE-2018-15315On F5 BIG-IP 13.0.0-13.1.1.1 and 12.1.0-12.1.3.6, there is a reflected Cross Site Scripting (XSS) vulnerability in an undisclosed Configurat
  24Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.