On BIG-IP versions 15.0.0-15.1.0, 14.0.0-14.1.2.3, 13.1.0-13.1.3.2, 12.1.0-12.1.5, and 11.5.2-11.6.5.1, BIG-IQ versions 7.0.0, 6.0.0-6.1.0,

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• f5 big-ip access policy manager13.0.0 и новее · до 13.1.3 включительно
• f5 big-ip access policy manager14.0.0 и новее · до 14.1.2 включительно
• f5 big-ip access policy manager15.0.0 и новее · до 15.1.0 включительно
• f5 big-ip access policy manager11.5.1 и новее · до 11.6.5 включительно
• f5 big-ip access policy manager12.1.0 и новее · до 12.1.5 включительно
• f5 big-ip advanced firewall manager12.1.0 и новее · до 12.1.5 включительно
• f5 big-ip advanced firewall manager14.0.0 и новее · до 14.1.2 включительно
• f5 big-ip advanced firewall manager15.0.0 и новее · до 15.1.0 включительно
• f5 big-ip advanced firewall manager11.5.1 и новее · до 11.6.5 включительно
• f5 big-ip advanced firewall manager13.0.0 и новее · до 13.1.3 включительно
• f5 big-ip analytics12.1.0 и новее · до 12.1.5 включительно
• f5 big-ip analytics14.0.0 и новее · до 14.1.2 включительно
• f5 big-ip analytics15.0.0 и новее · до 15.1.0 включительно
• f5 big-ip analytics11.5.1 и новее · до 11.6.5 включительно
• f5 big-ip analytics13.0.0 и новее · до 13.1.3 включительно
• f5 big-ip application acceleration manager12.1.0 и новее · до 12.1.5 включительно
• f5 big-ip application acceleration manager14.0.0 и новее · до 14.1.2 включительно
• f5 big-ip application acceleration manager15.0.0 и новее · до 15.1.0 включительно
• f5 big-ip application acceleration manager11.5.1 и новее · до 11.6.5 включительно
• f5 big-ip application acceleration manager13.0.0 и новее · до 13.1.3 включительно

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (f5). Не зависят от анализа CPE в NVD и обычно опережают его.

• F5 BIG-IP, BIG-IQ, iWorkflow, Enterprise Manager

  • BIG-IP 15.0.0-15.1.0, 14.0.0-14.1.2.3, 13.1.0-13.1.3.2, 12.1.0-12.1.5, 11.5.2-11.6.5.1, BIG-IQ 7.0.0, 6.0.0-6.1.0, 5.0.0-5.4.0, iWorkflow 2.3.0, Enterprise Manager 3.1.1затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2022-41622iControl SOAP vulnerability
  63На этой неделе
• CVE-2020-5868In BIG-IQ 6.0.0-7.0.0, a remote access vulnerability has been discovered that may allow a remote user to execute shell commands on affected
  40В плане
• CVE-2021-23005On all 7.x and 6.x versions (fixed in 8.0.0), when using a Quorum device for BIG-IQ high availability (HA) for automatic failover, BIG-IQ do
  36Наблюдать
• CVE-2020-5869In BIG-IQ 5.2.0-7.0.0, high availability (HA) synchronization is not secure by TLS and may allow on-path attackers to read / modify confiden
  36Наблюдать
• CVE-2020-5870In BIG-IQ 5.2.0-7.0.0, high availability (HA) synchronization mechanisms do not use any form of authentication for connecting to the peer.
  32Наблюдать
• CVE-2020-5860On BIG-IP 15.0.0-15.1.0.2, 14.1.0-14.1.2.3, 13.1.0-13.1.3.2, 12.1.0-12.1.5.1, and 11.5.2-11.6.5.1 and BIG-IQ 7.0.0, 6.0.0-6.1.0, and 5.2.0-5
  32Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Для упрощения развёртывания сервисной учётной записи выдаются широкие права на уровне всего кластера. Принцип минимальных привилегий на этапе установки игнорируется.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1kind: ClusterRole2rules:3  - apiGroups: ["*"]4    resources: ["*"]5    verbs: ["*"]

1kind: Role2metadata:3  namespace: lodos-system4rules:5  - apiGroups: ["apps"]6    resources: ["deployments"]7    verbs: ["get", "list", "update"]

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.