Spätná väzba k reportu

Autentifikovanému vzdialenému útočníkovi je na inštanciách F5OS-A a F5OS-C z dôvodu chybnej autorizácie pri použití externej autentifikácie (LDAP, RADIUS, TACACS+) umožnené eskalovať svoje oprávnenia (napr. na rolu F5OS administrátora). Ak nie je možné aktualizovať na opravenú verziu ihneď, riziko je možné dočasne mitigovať nastavením adresára pre vzdialenú autentifikáciu tak, aby žiadne skupiny nepoužívali hodnoty group ID (GID) rezervované systémom F5OS (napr. 9000 alebo 9001). Detailné informácie k zraniteľnosti a dočasnej oprave nájdete na [2].

Zraniteľnosť sa nachádza v produktoch:

• F5OS-A:F5OS-A; ==1.5.1;
• F5OS-C:F5OS-C; >=1.6.0, <=1.6.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2025-46265 na cve.org, NVD
• CWE-863: Incorrect Authorization na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 7. 5. 2025.

Autentifikovanému vzdialenému útočníkovi s oprávnením administrátora je na systémoch BIG-IP bežiacich v móde Appliance umožnené prostredníctvom rozhrania iControl REST alebo lokálneho prístupu cez TMOS Shell (tmsh) spúšťať ľubovoľné systémové príkazy v Advanced Shell (bash) a vytvárať či mazať súbory. Ak nie je možné aktualizovať na opravenú verziu ihneď, riziko je možné dočasne mitigovať obmedzením prístupu k rozhraniu iControl REST a príkazovému riadku cez SSH na dôveryhodné siete a zariadenia podľa jedného z postupov na [3].

Zraniteľnosť sa nachádza v produkte:

• *:BIG-IP; >=15.1.0, <=15.1.10; >=16.1.0, <=16.1.5; >=17.1.0, <=17.1.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N

Viac informácií:

• CVE-2025-31644 na cve.org, NVD
• CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 7. 5. 2025.

Neautentifikovanému vzdialenému útočníkovi je na inštanciách F5OS-A a F5OS-C umožnené získať neoprávnený prístup k systému v móde Appliance v prípade, že bol skôr používateľom root povolený SSH prístup pomocou kľúča a útočník získa privátny kľúč zodpovedajúci niektorému zo záznamov v root súbore "authorized_keys". Ak nie je možná okamžitá aktualizácia na opravenú verziu, riziko je možné dočasne mitigovať odstránením všetkých nakonfigurovaných verejných SSH kľúčov pred spustením módu Appliance [4].

Zraniteľnosť sa nachádza v produktoch:

• F5OS-A:F5OS-A; >=1.5.1, <=1.5.2;
• F5OS-C:F5OS-C; >=1.6.0, <=1.6.2;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2025-36546 na cve.org, NVD
• CWE-863: Incorrect Authorization na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 7. 5. 2025.

Neautentifikovanému vzdialenému útočníkovi je na systémoch BIG-IP, BIG-IP Next, BIG-IP Next CNF a BIG-IP Next SPK zasielaním špeciálne vytvorených požiadaviek na virtuálny server s aktívnym profilom Stream Control Transmission Protocol (SCTP) umožnené vykonať útok DoS. Ak nie je možná okamžitá aktualizácia na opravenú verziu, dopad zraniteľnosti je možné dočasne mitigovať nasadením BIG-IP v režime vysokej dostupnosti (HA). Detailné informácie k zraniteľnosti i dočasnej oprave sú k dispozícii na [5].

Zraniteľnosť sa nachádza v produktoch:

• *:BIG-IP; >=15.1.0, <=15.1.8; >=16.1.0, <=16.1.3; ==17.1.0;
• *:BIG-IP Next; ==20.2.0;
• *:BIG-IP Next CNF; >=1.1.0, <=1.2.1;
• *:BIG-IP Next SPK; >=1.7.0, <=1.7.11; >=1.8.0, <=1.9.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

• CVE-2025-41399 na cve.org, NVD
• CWE-404: Improper Resource Shutdown or Release na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 7. 5. 2025.

Neautentifikovanému vzdialenému útočníkovi je prostredníctvom špeciálne vytvorených HTTP požiadaviek zaslaných na virtuálny server s aktívnou voľbou Enforce RFC Compliance v HTTP profile na systémoch BIG-IP, BIG-IP Next SPK a BIG-IP Next CNF umožnené vykonať útok DoS. Ak nie je možná okamžitá aktualizácia na opravenú verziu, dopad zraniteľnosti je možné dočasne mitigovať nasadením systému v režime vysokej dostupnosti (HA). Detailné informácie k zraniteľnosti i dočasnej oprave sú k dispozícii na [6].

Zraniteľnosť sa nachádza v produktoch:

• *:BIG-IP; >=16.1.0, <=16.1.4; >=17.1.0, <=17.1.1;
• *:BIG-IP Next CNF; >=1.1.0, <=1.3.3;
• *:BIG-IP Next SPK; >=1.7.0, <=1.7.8; >=1.8.0, <=1.9.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

• CVE-2025-36557 na cve.org, NVD
• CWE-120: Buffer Copy without Checking Size of Input ('Classic Buffer Overflow') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 7. 5. 2025.

Neautentifikovanému vzdialenému útočníkovi je prostredníctvom špeciálne vytvorených odpovedí zaslaných na virtuálny server s aktívnym HTTP/2 profilom typu httprouter na systémoch BIG-IP, BIG-IP Next, BIG-IP Next CNF a BIG-IP Next SPK umožnené vykonať útok DoS. Ak nie je možná okamžitá aktualizácia na opravenú verziu, dopad zraniteľnosti je možné dočasne mitigovať nasadením systému v režime vysokej dostupnosti (HA). Detailné informácie k zraniteľnosti i dočasnej oprave sú k dispozícii na [7].

Zraniteľnosť sa nachádza v produktoch:

• *:BIG-IP; >=16.1.0, <=16.1.5; >=17.1.0, <=17.1.1;
• *:BIG-IP Next; >=20.2.0, <=20.2.1;
• *:BIG-IP Next CNF; >=1.1.0, <=1.4.1;
• *:BIG-IP Next SPK; >=1.7.0, <=1.9.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

• CVE-2025-36504 na cve.org, NVD
• CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 7. 5. 2025.