[TLP:CLEAR] F5 opravuje 44 zranitelností ve svých produktech
F5 opravuje 44 zranitelností ve svých produktech. Nejzávažnější z nich jsou uvedeny níže, zbylé naleznete na [1] včetně detailních informací o opravených verzích.
Autentizovanému vzdálenému útočníkovi s platnými přihlašovacími údaji a přístupem k SCP a SFTP je kvůli zranitelnosti ve zpracování nezveřejněných příkazů v produktu BIG-IP umožněno obejít omezení režimu Appliance [2].
Zranitelnost se nachází v produktu:
- BIG-IP; >=17.5.0, <17.5.1; >=17.1.0, <=17.1.2; >=16.1.0, <=16.1.6, >=15.1.0, <=15.1.10
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N
Více informací:
- CVE-2025-53868 na cve.org, NVD
- CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection'). na cwe.mitre.org
Zranitelnost byla veřejně oznámena 15. 10. 2025.
Autentizovanému lokálnímu útočníkovi je v produktech F5OS-A a F5OS-C umožněno zvýšit svá oprávnění a spouštět libovolné systémové příkazy [3].
Zranitelnost se nachází v produktech:
- F5OS-A; >=1.8.0, <1.8.3; >=1.5.1, <=1.5.3
- F5OS-C; >=1.8.0, <=1.8.1; >=1.6.0, <=1.6.2
CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Více informací:
- CVE-2025-61955 na cve.org, NVD
- CWE-95: Improper Neutralization of Directives in Dynamically Evaluated Code ('Eval Injection') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 15. 10. 2025.
Autentizovanému lokálnímu útočníkovi je v produktech F5OS-A a F5OS-C umožněno zvýšit svá oprávnění a spouštět libovolné systémové příkazy [4].
Zranitelnost se nachází v produktech:
- F5OS-A; >=1.8.0, <1.8.3; >=1.5.1, <=1.5.3
- F5OS-C; >=1.8.0, <=1.8.1; >=1.6.0, <=1.6.2
CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Více informací:
- CVE-2025-57780 na cve.org, NVD
- CWE-250: Execution with Unnecessary Privileges na cwe.mitre.org
Zranitelnost byla veřejně oznámena 15. 10. 2025.
Neautentizovanému vzdálenému útočníkovi je při použití Diffie-Hellman (DH) ECC Brainpool křivek v SSL profilu (Cipher Rule nebo Cipher Group) přiřazeném k virtuálnímu serveru v produktech BIG-IP, BIG-IP Next SPK a BIG-IP Next CNF umožněno vykonat DoS útok [5].
Zranitelnost se nachází v produktech:
- BIG-IP; >=17.1.0, <=17.1.1
- BIG-IP Next SPK; >=1.7.0, <=1.9.2
- BIG-IP Next CNF; >=1.1.0, <=1.3.3
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Více informací:
- CVE-2025-60016 na cve.org, NVD
- CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer na cwe.mitre.org
Zranitelnost byla veřejně oznámena 15. 10. 2025.
Neautentizovanému vzdálenému útočníkovi je kvůli zpracování nespecifikovaného síťového provozu při nakonfigurovaném HTTP/2 Ingress v produktech BIG-IP Next SPK, BIG-IP Next CNF a BIG-IP Next for Kubernetes umožněno vykonat DoS útok [6].
Zranitelnost se nachází v produktech:
- BIG-IP Next SPK; >=2.0.0, <2.0.1; >=1.7.0, <=1.7.14
- BIG-IP Next CNF; >=2.0.0, <2.0.1; >=1.1.0, <=1.4.1
- BIG-IP Next for Kubernetes; >=2.0.0, <2.1.0
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Více informací:
- CVE-2025-58120 na cve.org, NVD
- CWE-476: NULL Pointer Dereference na cwe.mitre.org
Zranitelnost byla veřejně oznámena 15. 10. 2025.
Odkazy
Za CESNET, z.s.p.o. Michaela Jarošová dne 17. 10. 2025.