CVE-2021-23031: On version 16.0.x before 16.0.1.2, 15.1.x before 15.1.3, 14.1.x before 14.1.4.1, 13.1.x before 13.1.4, 12.1.x before 12.1.6, and 11.6.x befo

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• f5 big-ip advanced web application firewall11.6.1 и новее · до 11.6.5.2 включительно
• f5 big-ip advanced web application firewall12.1.0 и новее · до 12.1.5 включительно
• f5 big-ip advanced web application firewall13.1.0 и новее · до 13.1.3 включительно
• f5 big-ip advanced web application firewall14.1.0 и новее · до 14.1.4 включительно
• f5 big-ip advanced web application firewall15.1.0 и новее · до 15.1.2 включительно
• f5 big-ip advanced web application firewall16.0.0 и новее · до 16.0.1.1 включительно
• f5 big-ip application security manager11.6.1 и новее · до 11.6.5.2 включительно
• f5 big-ip application security manager12.1.0 и новее · до 12.1.5 включительно
• f5 big-ip application security manager13.1.0 и новее · до 13.1.3 включительно
• f5 big-ip application security manager14.1.0 и новее · до 14.1.4 включительно
• f5 big-ip application security manager15.1.0 и новее · до 15.1.2 включительно
• f5 big-ip application security manager16.0.0 и новее · до 16.0.1.1 включительно

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (f5). Не зависят от анализа CPE в NVD и обычно опережают его.

• n/a BIG-IP Advanced WAF and BIG-IP ASM

  • 16.0.x before 16.0.1.2, 15.1.x before 15.1.3, 14.1.x before 14.1.4.1, 13.1.x before 13.1.4, 12.1.x before 12.1.6, and 11.6.x before 11.6.5.3затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2021-23029On version 16.0.x before 16.0.1.2, insufficient permission checks may allow authenticated users with guest privileges to perform Server-Side
  35Наблюдать
• CVE-2021-23014On versions 16.0.x before 16.0.1.1, 15.1.x before 15.1.3, and 14.1.x before 14.1.4, BIG-IP Advanced WAF and ASM are missing authorization ch
  35Наблюдать
• CVE-2021-22993On BIG-IP Advanced WAF and BIG-IP ASM versions 16.0.x before 16.0.1.1, 15.1.x before 15.1.2, 14.1.x before 14.1.3.1, 13.1.x before 13.1.3.6,
  35Наблюдать

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2021-2305314 сент. 2021 г. · On version 15.1.x before 15.1.3, 14.1.x before 14.1.3.1, and 13.1.x before 13.1.3.6, when the brute force protection feature of BIG-IP Advan
  21Наблюдать
• ← РаньшеCVE-2021-2303314 сент. 2021 г. · On BIG-IP Advanced WAF and BIG-IP ASM version 16.x before 16.1.0x, 15.1.x before 15.1.3.1, 14.1.x before 14.1.4.3, 13.1.x before 13.1.4.1, a
  30Наблюдать
• Позже →CVE-2021-2303614 сент. 2021 г. · On version 16.0.x before 16.0.1.2, when a BIG-IP ASM and DataSafe profile are configured on a virtual server, undisclosed requests can cause
  30Наблюдать

Первопричина

Пользовательский ввод вставляется в команду оболочки как текст. Оболочка может интерпретировать специальные символы во вводе как часть команды.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const host = req.body.host;2exec("ping -c 1 " + host, onResult);

1const host = req.body.host;2if (!/^[a-z0-9.-]{1,253}$/i.test(host)) return res.sendStatus(400);3execFile("ping", ["-c", "1", host], onResult);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.