iControl SOAP vulnerability

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• f5 big-ip access policy manager16.1.0 и новее · до 16.1.3 включительно
• f5 big-ip access policy manager14.1.0 и новее · до 14.1.5 включительно
• f5 big-ip access policy manager13.1.0 и новее · до 13.1.5 включительно
• f5 big-ip access policy manager15.1.0 и новее · до 15.1.8 включительно
• f5 big-ip access policy manager17.0.0
• f5 big-ip advanced firewall manager13.1.0 и новее · до 13.1.5 включительно
• f5 big-ip advanced firewall manager15.1.0 и новее · до 15.1.8 включительно
• f5 big-ip advanced firewall manager16.1.0 и новее · до 16.1.3 включительно
• f5 big-ip advanced firewall manager14.1.0 и новее · до 14.1.5 включительно
• f5 big-ip advanced firewall manager17.0.0
• f5 big-ip analytics16.1.0 и новее · до 16.1.3 включительно
• f5 big-ip analytics13.1.0 и новее · до 13.1.5 включительно
• f5 big-ip analytics15.1.0 и новее · до 15.1.8 включительно
• f5 big-ip analytics14.1.0 и новее · до 14.1.5 включительно
• f5 big-ip analytics17.0.0
• f5 big-ip application acceleration manager14.1.0 и новее · до 14.1.5 включительно
• f5 big-ip application acceleration manager15.1.0 и новее · до 15.1.8 включительно
• f5 big-ip application acceleration manager13.1.0 и новее · до 13.1.5 включительно
• f5 big-ip application acceleration manager16.1.0 и новее · до 16.1.3 включительно
• f5 big-ip application acceleration manager17.0.0

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (f5). Не зависят от анализа CPE в NVD и обычно опережают его.

• F5 BIG-IP

  • 17.x, 16.1.x, 15.1.x, 14.1.x, 13.1.xзатронута

• F5 BIG-IQ Centralized Management

  • 8.x, 7.1.xзатронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2020-5868In BIG-IQ 6.0.0-7.0.0, a remote access vulnerability has been discovered that may allow a remote user to execute shell commands on affected
  40В плане
• CVE-2021-23005On all 7.x and 6.x versions (fixed in 8.0.0), when using a Quorum device for BIG-IQ high availability (HA) for automatic failover, BIG-IQ do
  36Наблюдать
• CVE-2020-5869In BIG-IQ 5.2.0-7.0.0, high availability (HA) synchronization is not secure by TLS and may allow on-path attackers to read / modify confiden
  36Наблюдать
• CVE-2020-5870In BIG-IQ 5.2.0-7.0.0, high availability (HA) synchronization mechanisms do not use any form of authentication for connecting to the peer.
  32Наблюдать
• CVE-2020-5860On BIG-IP 15.0.0-15.1.0.2, 14.1.0-14.1.2.3, 13.1.0-13.1.3.2, 12.1.0-12.1.5.1, and 11.5.2-11.6.5.1 and BIG-IQ 7.0.0, 6.0.0-6.1.0, and 5.2.0-5
  32Наблюдать
• CVE-2020-5858On BIG-IP 15.0.0-15.0.1.2, 14.1.0-14.1.2.2, 13.1.0-13.1.3.2, 12.1.0-12.1.5, and 11.5.2-11.6.5.1 and BIG-IQ 7.0.0, 6.0.0-6.1.0, and 5.2.0-5.4
  31Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Запросы, изменяющие состояние, опираются на сессионный cookie, который браузер отправляет автоматически; то, что запрос пришёл со страницы самого пользователя, не проверяется.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1app.use(session({ cookie: { httpOnly: true } }));2app.post("/account/address", updateAddress);

1app.use(session({ cookie: { httpOnly: true, sameSite: "lax" } }));2app.post("/account/address", csrfProtection, updateAddress);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.