【缝隙公告】F5 8月多个安全缝隙

颁布功夫 2021-08-26

0x00 缝隙概述

2021年8月24日，F5颁布安全更新，建复了其BIG-IP等产品中的29个安全缝隙。这些缝隙蕴含经过身份验证的远程号令执杏注XSS、CSRF、SSRF和回绝服务等。

 

0x01 缝隙详情

image.png

本次建复的高危缝隙为13个，除CVE-2021-23031之表，其它缝隙的CVSS评分领域为7.2-7.5，5个缝隙影响了 WAF 和 ASM，1个缝隙影响了 DNS �？�。

其中蕴含一个在特定前提下被利用时评级为严沉的缝隙，该缝隙的CVE编号为CVE-2021-23031，是 BIG-IP Web 利用防火墙 (WAF) 和利用安全治理器 (ASM) 流量管理用户界面 (TMUI) 上的权限提升缝隙。该缝隙的CVSS评分为8.8，经过身份验证且拥有配置实用法式接见权限的攻击者能够利用此缝隙来提升权限，最终能够执行肆意系统号令、创建或删除肆意文件、禁用服务等。但若是利用了设备模式，该缝隙的CVSS评分将提升为9.9。

F5本次颁布的安全更新中的13个高危缝隙及其影响领域、建复版本如下:

CVE ID

严沉性

CVSS评分

受影响产品

受影响版本

建复版本

CVE-2021-23025

高

7.2

BIG-IP（所有�？椋�

15.0.0 - 15.1.0
  14.1.0 - 14.1.3
  13.1.0 - 13.1.3
  12.1.0 - 12.1.6
  11.6.1 - 11.6.5

16.0.0
  15.1.0.5
  14.1.3.1
  13.1.3.5

CVE-2021-23026

高

7.5

BIG-IP（所有�？椋�

16.0.0 - 16.0.1
  15.1.0 - 15.1.2
  14.1.0 - 14.1.4
  13.1.0 - 13.1.4

12.1.0 - 12.1.6
  11.6.1 - 11.6.5

16.1.0
  16.0.1.2
  15.1.3
  14.1.4.2
  13.1.4.1

BIG-IQ

8.0.0 - 8.1.0 
  7.0.0 - 7.1.0
  6.0.0 - 6.1.0

无

CVE-2021-23027

高

7.5

BIG-IP（所有�？椋�

16.0.0 - 16.0.1
  15.1.0 - 15.1.2
  14.1.0 - 14.1.4

16.1.0
  16.0.1.2
  15.1.3.1
  14.1.4.3

CVE-2021-23028

高

7.5

BIG-IP（WAF、ASM）

16.0.1
  15.1.1 - 15.1.3
  14.1.3.1 - 14.1.4.1
  13.1.3.5 - 13.1.3.6

16.1.0
  16.0.1.2
  15.1.3.1
  14.1.4.2
  13.1.4

CVE-2021-23029

高

7.5

BIG-IP（WAF、ASM）

16.0.0 - 16.0.1

16.1.0
  16.0.1.2

CVE-2021-23030

高

7.5

BIG-IP（WAF、ASM）

16.0.0 - 16.0.1
  15.1.0 - 15.1.3
  14.1.0 - 14.1.4
  13.1.0 - 13.1.4

12.1.0 - 12.1.6

16.1.0
  16.0.1.2
  15.1.3.1
  14.1.4.3
  13.1.4.1

CVE-2021-23031

高/严沉 ( 仅设备模式)

8.8/

9.9 

BIG-IP（WAF、ASM）

16.0.0 - 16.0.1
  15.1.0 - 15.1.2
  14.1.0 - 14.1.4
  13.1.0 - 13.1.3
  12.1.0 - 12.1.5
  11.6.1 - 11.6.5

16.1.0
  16.0.1.2
  15.1.3
  14.1.4.1
  13.1.4
  12.1.6
  11.6.5.3

CVE-2021-23032

高

7.5

BIG-IP (DNS)

16.0.0 - 16.0.1

15.1.0 - 15.1.3

14.1.0 - 14.1.4

13.1.0 - 13.1.4

12.1.0 - 12.1.6

16.1.0 
  15.1.3.1
  14.1.4.4

CVE-2021-23033

高

7.5

BIG-IP（WAF、ASM）

16.0.0 - 16.0.1

15.1.0 - 15.1.3

14.1.0 - 14.1.4

13.1.0 - 13.1.4

12.1.0 - 12.1.6

16.1.0
  15.1.3.1
  14.1.4.3
  13.1.4.1

CVE-2021-23034

高

7.5

BIG-IP

16.0.0 - 16.0.1
  15.1.0 - 15.1.3

16.1.0 
  15.1.3.1

CVE-2021-23035

高

7.5

BIG-IP

14.1.0 - 14.1.4

14.1.4.4

CVE-2021-23036

高

7.5

BIG-IP（WAF、ASM、DataSafe）

16.0.0 - 16.0.1

16.1.0
  16.0.1.2

CVE-2021-23037

高

7.5

BIG-IP

16.0.0 - 16.1.0

15.1.0 - 15.1.3

14.1.0 - 14.1.4

13.1.0 - 13.1.4

12.1.0 - 12.1.6

11.6.1 - 11.6.5

无

 

此表，F5还建复了其BIG-IP等产品中的其它16个中危和低危缝隙，这些缝隙的CVSS评分领域为3.7-6.8，攻击者能够利用这些缝隙执行XSS攻击、SQL注入、接见肆意文件等。

 

0x02 措置建议

目前这些缝隙已在部门版本中建复，F5 建议客户将 BIG-IP 设备至少更新或升级到 BIG-IP 14.1.0，将 BIG-IP VE 至少更新或升级到 BIG-IP 15.1.0，建议参考官方布告实时升级更新。

下载链接：

https://support.f5.com/csp/article/K50974556

 

0x03 参考链接

https://support.f5.com/csp/article/K50974556

https://www.bleepingcomputer.com/news/security/critical-f5-big-ip-bug-impacts-customers-in-sensitive-sectors/

https://securityaffairs.co/wordpress/121454/security/f5-big-ip-critical-flaw.html?

 

0x04 更新版本

版本

日期

批改内容

V1.0

2021-08-26

初次颁布

 

0x05 文档附录

CNVD：www.cnvd.org.cn

CNNVD：www.cnnvd.org.cn

CVE：cve.mitre.org

NVD：nvd.nist.gov

CVSS：www.first.org

0x06 关于GA黄金甲

关注以下公家号，获取更多资讯：

image.png