The HTTPS protocol, as used in unspecified web applications, can encrypt compressed data without properly obfuscating the length of the unen

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• f5 arx6.0.0 и новее · до 6.4.0 включительно
• f5 arx5.0.0 и новее · до 5.3.1 включительно
• f5 big-ip access policy manager10.1.0 и новее · до 10.2.4 включительно
• f5 big-ip access policy manager11.0.0 и новее · до 11.6.1 включительно
• f5 big-ip access policy manager12.0.0 и новее · до 12.1.2 включительно
• f5 big-ip access policy manager13.0.0
• f5 big-ip advanced firewall manager12.0.0 и новее · до 12.1.2 включительно
• f5 big-ip advanced firewall manager11.3.0 и новее · до 11.6.1 включительно
• f5 big-ip advanced firewall manager13.0.0
• f5 big-ip analytics12.0.0 и новее · до 12.1.2 включительно
• f5 big-ip analytics11.0.0 и новее · до 11.6.1 включительно
• f5 big-ip analytics13.0.0
• f5 big-ip application acceleration manager12.0.0 и новее · до 12.1.2 включительно
• f5 big-ip application acceleration manager11.4.0 и новее · до 11.6.1 включительно
• f5 big-ip application acceleration manager13.0.0
• f5 big-ip application security manager11.0.0 и новее · до 11.6.1 включительно
• f5 big-ip application security manager12.0.0 и новее · до 12.1.2 включительно
• f5 big-ip application security manager10.0.0 и новее · до 10.2.4 включительно
• f5 big-ip application security manager9.2.0 и новее · до 9.4.8 включительно
• f5 big-ip application security manager13.0.0

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (certcc). Не зависят от анализа CPE в NVD и обычно опережают его.

• n/a HTTPS protocol

  • allзатронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2022-1388On F5 BIG-IP 16.1.x versions prior to 16.1.2.2, 15.1.x versions prior to 15.1.5.1, 14.1.x versions prior to 14.1.4.6, 13.1.x versions prior KEV
  99Срочно
• CVE-2021-22986On BIG-IP versions 16.0.x before 16.0.1.1, 15.1.x before 15.1.2.1, 14.1.x before 14.1.4, 13.1.x before 13.1.3.6, and 12.1.x before 12.1.5.3 KEV
  99Срочно
• CVE-2020-5902In BIG-IP versions 15.0.0-15.1.0.3, 14.1.0-14.1.2.5, 13.1.0-13.1.3.3, 12.1.0-12.1.5.1, and 11.6.1-11.6.5.1, the Traffic Management User InteKEV
  99Срочно
• CVE-2023-46747BIG-IP Configuration utility unauthenticated remote code execution vulnerabilityKEV
  98Срочно
• CVE-2021-22991On BIG-IP versions 16.0.x before 16.0.1.1, 15.1.x before 15.1.2.1, 14.1.x before 14.1.4, 13.1.x before 13.1.3.6, and 12.1.x before 12.1.5.3,KEV
  87Срочно
• CVE-2026-94127BIG-IP APM OAuth vulnerabilityKEV
  68На этой неделе

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.