Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] F5 opravuje 6 zraniteľností v rôznych produktoch
F5 opravuje 6 zraniteľností vo svojich produktoch. Najzávažnejšie z nich sú uvedené nižšie, zvyšné nájdete na [1]. Jednotlivé produkty a ich opravené verzie: BIG-IP (všetky moduly) - 17.1.2.2, 16.1.6, Hotfix-BIGIP-17.5.1.0.80.7-ENG.iso, Hotfix-BIGIP-17.1.2.2.0.259.12-ENG.iso, Hotfix-BIGIP-16.1.6.0.27.3-ENG.iso; BIG-IP (APM) - 17.1.2.2, 16.1.6; F5 Access for Android - 3.1.2; APM Clients - 7.2.5.3; NGINX Plus - R35, R34 P2, R33 P3, R32 P3; NGINX Open Source - 1.29.1. Detailné informácie o opravených verziách pre jednotlivé zraniteľnosti možno nájsť v prehľadnej tabuľke na [1].
Neautentizovanému vzdialenému útočníkovi je kvôli povoleným anonymným Diffie-Hellman šifrám (ADH) v Client SSL profile s aktívnym SSL Forward Proxy umožnené vyvolať pád procesu Traffic Management Microkernel (TMM), a tak vykonať DoS útok. Ak nie je možná okamžitá aktualizácia na opravenú verziu, vplyv zraniteľnosti možno dočasne zmierniť zakázaním ADH šifier, napríklad pridaním parametra „!ADH“ do konfigurácie vlastných sád šifier [2].
Zraniteľnosť sa nachádza v produkte:
- *:BIG-IP; >=17.1.0, <=17.1.2; >=16.1.0, <=16.1.5, >=15.1.0, <=15.1.10
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2025-52585 na cve.org, NVD
- CWE-476: NULL Pointer Dereference na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 13. 8. 2025.
Neautentizovanému vzdialenému útočníkovi je kvôli chybnému spracovaniu prevádzky na BIG-IP APM virtuálnom serveri s povoleným Network Access umožnené vyvolať pád procesu TMM, a tak vykonať DoS útok v dátovej rovine [3].
Zraniteľnosť sa nachádza v produkte:
- *:BIG-IP; >=17.1.0, <=17.1.2; >=16.1.0, <=16.1.5, >=15.1.0, <=15.1.10
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2025-46405 na cve.org, NVD
- CWE-121: Stack-based Buffer Overflow na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 13. 8. 2025.
Neautentizovanému vzdialenému útočníkovi je kvôli neoverovaniu identity vzdialeného koncového bodu v aplikácii F5 Access for Android umožnené pri útoku man-in-the-middle čítať aj upravovať dáta prenášané cez HTTPS [4].
Zraniteľnosť sa nachádza v produkte:
- *:F5 Access for Android; >=3.1.0, <=3.1.1
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
Viac informácií:
- CVE-2025-54809 na cve.org, NVD
- CWE-295: Improper Certificate Validation na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 13. 8. 2025.
Autentizovanému lokálnemu útočníkovi je kvôli chýbajúcej kontrole integrity súboru v inštalačnom programe F5 VPN klienta v prehliadači pre macOS umožnené nahradiť inštalačný balík škodlivým, čo môže viesť k obchádzaniu kontroly koncového zariadenia a zvýšeniu oprávnení. Ak nie je možná okamžitá aktualizácia na opravenú verziu, vplyv zraniteľnosti možno dočasne zmierniť použitím BIG-IP Edge Client pre macOS namiesto prehliadačového VPN klienta [5].
Zraniteľnosť sa nachádza v produktoch:
- BIG-IP; >=17.5.0, <=17.5.1; >=17.1.0, <=17.1.2; >=16.1.0, <=16.1.6; >=15.1.0, <=15.1.10
- *:APM Clients; =7.2.5
CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2025-48500 na cve.org, NVD
- CWE-353: Missing Support for Integrity Check na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 13. 8. 2025.
Odkazy
Za CESNET, z.s.p.o. Michaela Jarošová dňa 21. 8. 2025.