When BIG-IP 14.0.0-14.0.0.2, 13.0.0-13.1.0.5, 12.1.0-12.1.3.5, 11.6.0-11.6.3.2, or 11.2.1-11.5.6, BIG-IQ Centralized Management 5.0.0-5.4.0

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• f5 big-ip access policy manager11.2.1 и новее · до 11.5.6 включительно
• f5 big-ip access policy manager14.0.0 и новее · до 14.0.0.2 включительно
• f5 big-ip access policy manager13.0.0 и новее · до 13.1.0.7 включительно
• f5 big-ip access policy manager12.1.0 и новее · до 12.1.3.5 включительно
• f5 big-ip access policy manager11.6.0 и новее · до 11.6.3.2 включительно
• f5 big-ip advanced firewall manager11.2.1 и новее · до 11.5.6 включительно
• f5 big-ip advanced firewall manager11.6.0 и новее · до 11.6.3.2 включительно
• f5 big-ip advanced firewall manager12.1.0 и новее · до 12.1.3.5 включительно
• f5 big-ip advanced firewall manager13.0.0 и новее · до 13.1.0.7 включительно
• f5 big-ip advanced firewall manager14.0.0 и новее · до 14.0.0.2 включительно
• f5 big-ip analytics14.0.0 и новее · до 14.0.0.2 включительно
• f5 big-ip analytics11.2.1 и новее · до 11.5.6 включительно
• f5 big-ip analytics11.6.0 и новее · до 11.6.3.2 включительно
• f5 big-ip analytics12.1.0 и новее · до 12.1.3.5 включительно
• f5 big-ip analytics13.0.0 и новее · до 13.1.0.7 включительно
• f5 big-ip application acceleration manager11.2.1 и новее · до 11.5.6 включительно
• f5 big-ip application acceleration manager11.6.0 и новее · до 11.6.3.2 включительно
• f5 big-ip application acceleration manager12.1.0 и новее · до 12.1.3.5 включительно
• f5 big-ip application acceleration manager13.0.0 и новее · до 13.1.0.7 включительно
• f5 big-ip application acceleration manager14.0.0 и новее · до 14.0.0.2 включительно

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (f5). Не зависят от анализа CPE в NVD и обычно опережают его.

• F5 Networks, Inc. BIG-IP (LTM, AAM, AFM, Analytics, APM, ASM, DNS, Edge Gateway, FPS, GTM, Link Controller, PEM, WebAccelerator), BIG-IQ Centralized Management, BIG-IQ Cloud and Orchestration, iWorkflow, Enterprise Man

  • 14.0.0-14.0.0.2, 13.0.0-13.1.0.5, 12.1.0-12.1.3.5, 11.6.0-11.6.3.2, 11.2.1-11.5.6затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2016-9244A BIG-IP virtual server configured with a Client SSL profile that has the non-default Session Tickets option enabled may leak up to 31 bytes
  52В плане
• CVE-2016-5745F5 BIG-IP LTM systems 11.x before 11.2.1 HF16, 11.3.x, 11.4.x before 11.4.1 HF11, 11.5.0, 11.5.1 before HF11, 11.5.2, 11.5.3, 11.5.4 before
  40В плане
• CVE-2019-6609Platform dependent weakness.
  39Наблюдать
• CVE-2018-5506In F5 BIG-IP 13.0.0, 12.1.0-12.1.2, 11.6.1, 11.5.1-11.5.5, or 11.2.1 the Apache modules apache_auth_token_mod and mod_auth_f5_auth_token.cpp
  39Наблюдать
• CVE-2017-6131In some circumstances, an F5 BIG-IP version 12.0.0 to 12.1.2 and 13.0.0 Azure cloud instance may contain a default administrative password w
  39Наблюдать
• CVE-2019-6644Similar to the issue identified in CVE-2018-12120, on versions 14.1.0-14.1.0.5, 14.0.0-14.0.0.4, 13.0.0-13.1.2, and 12.1.0-12.1.4 BIG-IP wil
  37Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Для упрощения развёртывания сервисной учётной записи выдаются широкие права на уровне всего кластера. Принцип минимальных привилегий на этапе установки игнорируется.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1kind: ClusterRole2rules:3  - apiGroups: ["*"]4    resources: ["*"]5    verbs: ["*"]

1kind: Role2metadata:3  namespace: lodos-system4rules:5  - apiGroups: ["apps"]6    resources: ["deployments"]7    verbs: ["get", "list", "update"]

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.