Zpětná vazba k reportu

Autentizovanému vzdálenému útočníkovi je zasíláním specifických dotazů přes iControl REST ve všech modulech BIG-IP umožněno spouštět libovolné systémové příkazy a vytvářet/mazat soubory. Zranitelnost lze obdobným způsobem zneužít také lokálně pomocí tmsh příkazu přes TMOS Shell. Není-li možné aktualizovat na opravenou verzi ihned, lze riziko dočasně mitigovat omezením přístupu k rozhraní iControl REST a příkazové řádce přes SSH na důvěryhodné sítě a zařízení dle jednoho z postupů na [2].

Zranitelnost se nachází v produktu:

• *:BIG-IP;>=15.1.0,<=15.1.10;>=16.1.0,<=16.1.5;>=17.1.0,<=17.1.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Více informací:

• CVE-2025-20029 na cve.org, NVD
• CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 5. 2. 2025.

Autentizovanému vzdálenému útočníkovi s oprávněním typu Administrator či Resource Administrator [3] je přes iControl REST ve všech modulech BIG-IP běžících v módu Appliance v Advanced Shell (bash) umožněno spouštět libovolné systémové příkazy a vytvářet/mazat soubory. Není-li možné aktualizovat na opravenou verzi ihned, lze riziko dočasně mitigovat omezením přístupu k rozhraní iControl REST na důvěryhodné sítě a zařízení dle jednoho z postupů na [4].

Zranitelnost se nachází v produktu:

• *:BIG-IP;==17.1.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N

Více informací:

• CVE-2025-23239 na cve.org, NVD
• CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 5. 2. 2025.

Autentizovanému vzdálenému útočníkovi je v utilitě Configuration ve všech modulech BIG-IP pomocí sociálního inženýrství umožněno vykonat útok stored XSS [5]. Tato zranitelnost je následkem nekompletní opravy zranitelnosti CVE-2024-31156 [6]. Není-li možné aktualizovat na opravenou verzi ihned, je pro mitigaci rizika doporučeno se z utility po použití odhlašovat a zavírat veškeré instance prohlížeče a používat oddělený prohlížeč pro správu BIG-IP a jiné účely [5].

Zranitelnost se nachází v produktu:

• *:BIG-IP;>=15.1.0,<=15.1.10;>=16.1.0,<=16.1.5;>=17.1.0,<=17.1.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Více informací:

• CVE-2025-24320 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation na cwe.mitre.org

Zranitelnost byla veřejně oznámena 5. 2. 2025.

Neautentizovanému vzdálenému útočníkovi je v BIG-IP (všechny moduly) umožněno vykonat útok DoS. Zranitelnost je zneužitelná, jsou-li na virtuálním serveru nakonfigurovány Client SSL nebo Server SSL profily nebo jsou-li na instanci aktivní podepisovací operace DNSSEC. Není-li možné aktualizovat na opravenou verzi ihned, je pro mitigaci rizika doporučeno konfigurovat systém v režimu vysoké dostupnosti (HA) [7].

Zranitelnost se nachází v produktu:

• *:BIG-IP;>=15.1.0,<=15.1.10;>=16.1.0,<=16.1.5;>=17.1.0,<=17.1.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Více informací:

• CVE-2025-21087 na cve.org, NVD
• CWE-400: Uncontrolled Resource Consumption na cwe.mitre.org

Zranitelnost byla veřejně oznámena 5. 2. 2025.

Neautentizovanému vzdálenému útočníkovi je v BIG-IP (všechny moduly) umožněno vykonat útok DoS [8]. Zranitelnost je zneužitelná, jsou-li na virtuálním serveru typu Message Routing nakonfigurovány profil Application Layer Gateway (ALG) pro Session Initiation Protocol (SIP) s povoleným režimem Passthru Mode a profil SIP Router ALG. Není-li možné aktualizovat na opravenou verzi ihned, je pro mitigaci rizika doporučeno konfigurovat systém v režimu vysoké dostupnosti (HA) [8].

Zranitelnost se nachází v produktu:

• *:BIG-IP;>=15.1.0,<=15.1.10;>=16.1.0,<=16.1.4;>=17.1.0,<=17.1.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Více informací:

• CVE-2025-20045 na cve.org, NVD
• CWE-476: NULL Pointer Dereference na cwe.mitre.org

Zranitelnost byla veřejně oznámena 5. 2. 2025.