Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] F5 BIG-IP opravuje 17 zraniteľností vo svojich produktoch

F5 opravuje 17 zraniteľností vo svojich produktoch [1]. Najzávažnejšie zraniteľnosti sú uvedené nižšie. Jednotlivé produkty a ich opravené verzie: BIG-IP (všetky moduly) - 17.1.2.1, 16.1.5.2, 15.1.10.6, Hotfix-BIGIP-16.1.5.2.0.7.5-ENG.iso, Hotfix-BIGIP-15.1.10.6.0.11.6-ENG.iso BIG-IP Next Central Manager - 20.3.0 BIG-IP Next SPK - 1.9.1, 1.7.7 BIG-IP Next CNF - 1.4.0 NGINX Plus - R33 P2, R32 P2 NGINX Open Source - 1.27.4, 1.26.3 Podrobné informácie o opravených verziách pre jednotlivé zraniteľnosti možno nájsť v prehľadnej tabuľke na [1].

F5 BIG-IP - vykonanie systémových príkazov (CVE-2025-20029)
CVSS 8.8 (High)

Autentizovanému vzdialenému útočníkovi je zasielaním špecifických dotazov cez iControl REST vo všetkých moduloch BIG-IP umožnené spúšťať ľubovoľné systémové príkazy a vytvárať/mazať súbory. Zraniteľnosť možno obdobným spôsobom zneužiť aj lokálne pomocou príkazu tmsh cez TMOS Shell. Ak nie je možné aktualizovať na opravenú verziu ihneď, možno riziko dočasne zmierniť obmedzením prístupu k rozhraniu iControl REST a príkazovému riadku cez SSH na dôveryhodné siete a zariadenia podľa jedného z postupov na [2].

Zraniteľnosť sa nachádza v produkte:

  • *:BIG-IP;>=15.1.0,<=15.1.10;>=16.1.0,<=16.1.5;>=17.1.0,<=17.1.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2025-20029 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 5. 2. 2025.

F5 BIG-IP - vykonanie systémových príkazov (CVE-2025-23239)
CVSS 8.7 (High)

Autentizovanému vzdialenému útočníkovi s oprávnením typu Administrator alebo Resource Administrator [3] je cez iControl REST vo všetkých moduloch BIG-IP bežiacich v móde Appliance v Advanced Shell (bash) umožnené spúšťať ľubovoľné systémové príkazy a vytvárať/mazať súbory. Ak nie je možné aktualizovať na opravenú verziu ihneď, možno riziko dočasne zmierniť obmedzením prístupu k rozhraniu iControl REST na dôveryhodné siete a zariadenia podľa jedného z postupov na [4].

Zraniteľnosť sa nachádza v produkte:

  • *:BIG-IP;==17.1.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N

Viac informácií:

  • CVE-2025-23239 na cve.org, NVD
  • CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 5. 2. 2025.

F5 BIG-IP - XSS (CVE-2025-24320)
CVSS 8.0 (High)

Autentizovanému vzdialenému útočníkovi je v utilite Configuration vo všetkých moduloch BIG-IP pomocou sociálneho inžinierstva umožnené vykonať útok stored XSS [5]. Táto zraniteľnosť je následkom nekompletnej opravy zraniteľnosti CVE-2024-31156 [6]. Ak nie je možné aktualizovať na opravenú verziu ihneď, odporúča sa na zmiernenie rizika po použití sa z utility odhlasovať, zatvárať všetky inštancie prehliadača a používať oddelený prehliadač na správu BIG-IP a iné účely [5].

Zraniteľnosť sa nachádza v produkte:

  • *:BIG-IP;>=15.1.0,<=15.1.10;>=16.1.0,<=16.1.5;>=17.1.0,<=17.1.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 5. 2. 2025.

F5 BIG-IP - DoS (CVE-2025-21087)
CVSS 7.5 (High)

Neautentizovanému vzdialenému útočníkovi je v BIG-IP (všetky moduly) umožnené vykonať útok DoS. Zraniteľnosť je zneužiteľná, ak sú na virtuálnom serveri nakonfigurované profily Client SSL alebo Server SSL, alebo ak sú na inštancii aktívne podpisové operácie DNSSEC. Ak nie je možné aktualizovať na opravenú verziu ihneď, odporúča sa na zmiernenie rizika nakonfigurovať systém v režime vysokej dostupnosti (HA) [7].

Zraniteľnosť sa nachádza v produkte:

  • *:BIG-IP;>=15.1.0,<=15.1.10;>=16.1.0,<=16.1.5;>=17.1.0,<=17.1.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 5. 2. 2025.

F5 BIG-IP - DoS (CVE-2025-20045)
CVSS 7.5 (High)

Neautentizovanému vzdialenému útočníkovi je v BIG-IP (všetky moduly) umožnené vykonať útok DoS [8]. Zraniteľnosť je zneužiteľná, ak sú na virtuálnom serveri typu Message Routing nakonfigurované profil Application Layer Gateway (ALG) pre Session Initiation Protocol (SIP) s povoleným režimom Passthru Mode a profil SIP Router ALG. Ak nie je možné aktualizovať na opravenú verziu ihneď, na mitigáciu rizika sa odporúča konfigurovať systém v režime vysokej dostupnosti (HA) [8].

Zraniteľnosť sa nachádza v produkte:

  • *:BIG-IP;>=15.1.0,<=15.1.10;>=16.1.0,<=16.1.4;>=17.1.0,<=17.1.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 5. 2. 2025.

Za CESNET, z.s.p.o. Michaela Ručková dňa 10. 2. 2025.

CESNET, z.s.p.o. Logo