F5 BIG-IP 13.0.0-13.1.0.5, 12.1.0-12.1.3.5, or 11.6.0-11.6.3.1 virtual servers with HTTP/2 profiles enabled are vulnerable to "HPACK Bomb".

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• f5 big-ip access policy manager11.6.0 и новее · до 11.6.3.1 включительно
• f5 big-ip access policy manager13.0.0 и новее · до 13.1.0.5 включительно
• f5 big-ip access policy manager12.1.0 и новее · до 12.1.3.5 включительно
• f5 big-ip advanced firewall manager11.6.0 и новее · до 11.6.3.1 включительно
• f5 big-ip advanced firewall manager12.1.0 и новее · до 12.1.3.5 включительно
• f5 big-ip advanced firewall manager13.0.0 и новее · до 13.1.0.5 включительно
• f5 big-ip analytics12.1.0 и новее · до 12.1.3.5 включительно
• f5 big-ip analytics13.0.0 и новее · до 13.1.0.5 включительно
• f5 big-ip analytics11.6.0 и новее · до 11.6.3.1 включительно
• f5 big-ip application acceleration manager11.6.0 и новее · до 11.6.3.1 включительно
• f5 big-ip application acceleration manager12.1.0 и новее · до 12.1.3.5 включительно
• f5 big-ip application acceleration manager13.0.0 и новее · до 13.1.0.5 включительно
• f5 big-ip application security manager13.0.0 и новее · до 13.1.0.5 включительно
• f5 big-ip application security manager11.6.0 и новее · до 11.6.3.1 включительно
• f5 big-ip application security manager12.1.0 и новее · до 12.1.3.5 включительно
• f5 big-ip edge gateway11.6.0 и новее · до 11.6.3.1 включительно
• f5 big-ip edge gateway13.0.0 и новее · до 13.1.0.5 включительно
• f5 big-ip edge gateway12.1.0 и новее · до 12.1.3.5 включительно
• f5 big-ip local traffic manager11.6.0 и новее · до 11.6.3.1 включительно
• f5 big-ip local traffic manager12.1.0 и новее · до 12.1.3.5 включительно

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (f5). Не зависят от анализа CPE в NVD и обычно опережают его.

• F5 Networks, Inc. BIG-IP (LTM, AAM, AFM, Analytics, APM, ASM, Edge Gateway, PEM, WebSafe)

  • 13.0.0-13.1.0.5, 12.1.0-12.1.3.5, 11.6.0-11.6.3.1затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2016-9244A BIG-IP virtual server configured with a Client SSL profile that has the non-default Session Tickets option enabled may leak up to 31 bytes
  52В плане
• CVE-2016-5745F5 BIG-IP LTM systems 11.x before 11.2.1 HF16, 11.3.x, 11.4.x before 11.4.1 HF11, 11.5.0, 11.5.1 before HF11, 11.5.2, 11.5.3, 11.5.4 before
  40В плане
• CVE-2019-6609Platform dependent weakness.
  39Наблюдать
• CVE-2018-5506In F5 BIG-IP 13.0.0, 12.1.0-12.1.2, 11.6.1, 11.5.1-11.5.5, or 11.2.1 the Apache modules apache_auth_token_mod and mod_auth_f5_auth_token.cpp
  39Наблюдать
• CVE-2017-6131In some circumstances, an F5 BIG-IP version 12.0.0 to 12.1.2 and 13.0.0 Azure cloud instance may contain a default administrative password w
  39Наблюдать
• CVE-2019-6644Similar to the issue identified in CVE-2018-12120, on versions 14.1.0-14.1.0.5, 14.0.0-14.0.0.4, 13.0.0-13.1.2, and 12.1.0-12.1.4 BIG-IP wil
  37Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Код, разбирающий вложенные структуры, не ограничивает глубину или размер. Небольшие входные данные могут привести к несоразмерной вычислительной нагрузке.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1function expand(node) {2  return node.children.map(expand);3}

1const MAX_DEPTH = 32;2function expand(node, depth = 0) {3  if (depth > MAX_DEPTH) throw new Error("слишком глубоко");4  return node.children.map((c) => expand(c, depth + 1));5}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.