iControl SOAP vulnerability

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.

• f5 big-ip access policy manager16.1.0 ve sonrası · 16.1.3 dahil
• f5 big-ip access policy manager14.1.0 ve sonrası · 14.1.5 dahil
• f5 big-ip access policy manager13.1.0 ve sonrası · 13.1.5 dahil
• f5 big-ip access policy manager15.1.0 ve sonrası · 15.1.8 dahil
• f5 big-ip access policy manager17.0.0
• f5 big-ip advanced firewall manager13.1.0 ve sonrası · 13.1.5 dahil
• f5 big-ip advanced firewall manager15.1.0 ve sonrası · 15.1.8 dahil
• f5 big-ip advanced firewall manager16.1.0 ve sonrası · 16.1.3 dahil
• f5 big-ip advanced firewall manager14.1.0 ve sonrası · 14.1.5 dahil
• f5 big-ip advanced firewall manager17.0.0
• f5 big-ip analytics16.1.0 ve sonrası · 16.1.3 dahil
• f5 big-ip analytics13.1.0 ve sonrası · 13.1.5 dahil
• f5 big-ip analytics15.1.0 ve sonrası · 15.1.8 dahil
• f5 big-ip analytics14.1.0 ve sonrası · 14.1.5 dahil
• f5 big-ip analytics17.0.0
• f5 big-ip application acceleration manager14.1.0 ve sonrası · 14.1.5 dahil
• f5 big-ip application acceleration manager15.1.0 ve sonrası · 15.1.8 dahil
• f5 big-ip application acceleration manager13.1.0 ve sonrası · 13.1.5 dahil
• f5 big-ip application acceleration manager16.1.0 ve sonrası · 16.1.3 dahil
• f5 big-ip application acceleration manager17.0.0

Üreticinin bildirdiği sürümler

Kaydı açan otorite (f5) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

• F5 BIG-IP

  • 17.x, 16.1.x, 15.1.x, 14.1.x, 13.1.xetkilenir

• F5 BIG-IQ Centralized Management

  • 8.x, 7.1.xetkilenir

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

• CVE-2020-5868In BIG-IQ 6.0.0-7.0.0, a remote access vulnerability has been discovered that may allow a remote user to execute shell commands on affected
  40Planlayın
• CVE-2021-23005On all 7.x and 6.x versions (fixed in 8.0.0), when using a Quorum device for BIG-IQ high availability (HA) for automatic failover, BIG-IQ do
  36İzleyin
• CVE-2020-5869In BIG-IQ 5.2.0-7.0.0, high availability (HA) synchronization is not secure by TLS and may allow on-path attackers to read / modify confiden
  36İzleyin
• CVE-2020-5870In BIG-IQ 5.2.0-7.0.0, high availability (HA) synchronization mechanisms do not use any form of authentication for connecting to the peer.
  32İzleyin
• CVE-2020-5860On BIG-IP 15.0.0-15.1.0.2, 14.1.0-14.1.2.3, 13.1.0-13.1.3.2, 12.1.0-12.1.5.1, and 11.5.2-11.6.5.1 and BIG-IQ 7.0.0, 6.0.0-6.1.0, and 5.2.0-5
  32İzleyin
• CVE-2020-5858On BIG-IP 15.0.0-15.0.1.2, 14.1.0-14.1.2.2, 13.1.0-13.1.3.2, 12.1.0-12.1.5, and 11.5.2-11.6.5.1 and BIG-IQ 7.0.0, 6.0.0-6.1.0, and 5.2.0-5.4
  31İzleyin

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Kök neden

Durum değiştiren istekler tarayıcının otomatik gönderdiği oturum çerezine dayanıyor; isteğin kullanıcının kendi sayfasından geldiği doğrulanmıyor.

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

1app.use(session({ cookie: { httpOnly: true } }));2app.post("/account/address", updateAddress);

1app.use(session({ cookie: { httpOnly: true, sameSite: "lax" } }));2app.post("/account/address", csrfProtection, updateAddress);

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.