On BIG-IP 15.0.0-15.0.1, 14.1.0-14.1.2.3, 13.1.0-13.1.3.3, and 12.1.0-12.1.5.1 and BIG-IQ 5.2.0-7.1.0, when creating a QKView, credentials f

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• f5 big-ip access policy manager14.0.0 и новее · до 14.1.2.4
• f5 big-ip access policy manager13.1.0 и новее · до 13.1.3.3 включительно
• f5 big-ip access policy manager12.1.0 и новее · до 12.1.5.1 включительно
• f5 big-ip access policy manager15.0.0 и новее · до 15.1.0.2
• f5 big-ip advanced firewall manager15.0.0 и новее · до 15.1.0.2
• f5 big-ip advanced firewall manager13.1.0 и новее · до 13.1.3.3 включительно
• f5 big-ip advanced firewall manager12.1.0 и новее · до 12.1.5.1 включительно
• f5 big-ip advanced firewall manager14.0.0 и новее · до 14.1.2.4
• f5 big-ip analytics13.1.0 и новее · до 13.1.3.3 включительно
• f5 big-ip analytics14.0.0 и новее · до 14.1.2.4
• f5 big-ip analytics15.0.0 и новее · до 15.1.0.2
• f5 big-ip analytics12.1.0 и новее · до 12.1.5.1 включительно
• f5 big-ip application acceleration manager14.0.0 и новее · до 14.1.2.4
• f5 big-ip application acceleration manager13.1.0 и новее · до 13.1.3.3 включительно
• f5 big-ip application acceleration manager12.1.0 и новее · до 12.1.5.1 включительно
• f5 big-ip application acceleration manager15.0.0 и новее · до 15.1.0.2
• f5 big-ip application security manager12.1.0 и новее · до 12.1.5.1 включительно
• f5 big-ip application security manager14.0.0 и новее · до 14.1.2.4
• f5 big-ip application security manager15.0.0 и новее · до 15.1.0.2
• f5 big-ip application security manager13.1.0 и новее · до 13.1.3.3 включительно

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (f5). Не зависят от анализа CPE в NVD и обычно опережают его.

• n/a BIG-IP

  • 15.0.0-15.0.1, 14.1.0-14.1.2.3, 13.1.0-13.1.3.3, 12.1.0-12.1.5.1затронута

• n/a BIG-IQ

  • 5.2.0-7.1.0затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2022-41622iControl SOAP vulnerability
  63На этой неделе
• CVE-2020-5868In BIG-IQ 6.0.0-7.0.0, a remote access vulnerability has been discovered that may allow a remote user to execute shell commands on affected
  40В плане
• CVE-2021-23005On all 7.x and 6.x versions (fixed in 8.0.0), when using a Quorum device for BIG-IQ high availability (HA) for automatic failover, BIG-IQ do
  36Наблюдать
• CVE-2020-5869In BIG-IQ 5.2.0-7.0.0, high availability (HA) synchronization is not secure by TLS and may allow on-path attackers to read / modify confiden
  36Наблюдать
• CVE-2020-5870In BIG-IQ 5.2.0-7.0.0, high availability (HA) synchronization mechanisms do not use any form of authentication for connecting to the peer.
  32Наблюдать
• CVE-2020-5860On BIG-IP 15.0.0-15.1.0.2, 14.1.0-14.1.2.3, 13.1.0-13.1.3.2, 12.1.0-12.1.5.1, and 11.5.2-11.6.5.1 and BIG-IQ 7.0.0, 6.0.0-6.1.0, and 5.2.0-5
  32Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.