搜索

[1715] 2020-07-06_关于F5BIG-IP存在远程代码执行漏洞的安全公告

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-16
2020-07-06_关于F5BIG-IP存在远程代码执行漏洞的安全公告 关 于 F 5   B I G - I P 存 在 远 程 代 码 执 行 漏 洞 的 安 全 公 告 原 创   C N V D   C N V D 漏 洞 平 台   2 0 2 0 - 0 7 - 0 6 安 全 公 告 编 号 安 全 公 告 编 号 : C N T A - 2 0 2 0 - 0 0 1 3 2 0 2 0 年 7 月 6 日 ， 国 家 信 息 安 全 漏 洞 共 享 平 台 （ C N V D ） 收 录 了 F 5   B I G - I P 远 程 代 码 执 行 漏 洞 （ C N V D - 2 0 2 0 - 3 6 3 8 3 ， 对 应 C V E - 2 0 2 0 - 5 9 0 2 ） 。 攻 击 者 利 用 该 漏 洞 ， 可 在 未 授 权 的 情 况 下 远 程 执 行 代 码 。 目 前 ， 漏 洞 利 用 代 码 已 公 开 ， 厂 商 已 发 布 补 丁 进 行 修 复 。 一 、 漏 洞 情 况 分 析 一 、 漏 洞 情 况 分 析 C N V D 建 议 云 存 储 服 务 提 供 商 一 方 面 进 行 漏 洞 排 查 ， 通 知 云 存 储 用 户 自 查 和 修 复 ， 并 提 供 必 要 的 技 术 支 持 ； 另 一 方 面 完 善 云 存 储 的 使 用 说 明 文 档 ， 提 醒 云 存 储 用 户 错 误 配 置 可 能 导 致 的 安 全 问 题 ， 并 针 对 常 用 场 景 给 出 配 置 策 略 建 议 。 F 5   B I G - I P 是 美 国 F 5 公 司 一 款 集 成 流 量 管 理 、 D N S 、 W e b 应 用 防 火 墙 、 负 载 均 衡 等 功 能 的 应 用 交 付 平 台 。 F 5   B I G - I P 充 分 利 用 了 F 5 的 T M O S 构 架 ， 改 进 了 链 路 性 能 ， 同 时 还 可 提 供 灵 活 的 状 态 检 查 功 能 。 2 0 2 0 年 7 月 6 日 ， 国 家 信 息 安 全 漏 洞 共 享 平 台 （ C N V D ） 收 录 了 F 5   B I G - I P 远 程 代 码 执 行 漏 洞 。 由 于 B I G - I P 流 量 管 理 用 户 界 面 （ T M U I ） 存 在 认 证 绕 过 缺 陷 ， 导 致 授 权 访 问 机 制 失 效 ， 未 经 身 份 验 证 的 攻 击 者 利 用 该 漏 洞 ， 通 过 向 目 标 服 务 器 发 送 恶 意 构 造 请 求 ， 可 绕 过 授 权 访 问 页 面 ， 获 得 目 标 服 务 器 权 限 ， 实 现 远 程 代 码 执 行 。 C N V D 对 该 漏 洞 的 综 合 评 级 为 “ 高 危 ” 。 二 、 漏 洞 影 响 范 围 二 、 漏 洞 影 响 范 围 漏 洞 影 响 的 产 品 版 本 包 括 ： B I G - I P   1 5 . x :   1 5 . 0 . 0 、 1 5 . 1 . 0 B I G - I P   1 4 . x :   1 4 . 1 . 0 - 1 4 . 1 . 2 B I G - I P   1 3 . x :   1 3 . 1 . 0 - 1 3 . 1 . 3 B I G - I P   1 2 . x :   1 2 . 1 . 0 - 1 2 . 1 . 5 B I G - I P   1 1 . x :   1 1 . 6 . 1 - 1 1 . 6 . 5 三 、 漏 洞 处 置 建 议 三 、 漏 洞 处 置 建 议 目 前 ， F 5 官 方 已 发 布 新 版 本 修 复 此 漏 洞 ， C N V D 建 议 用 户 立 即 升 级 至 最 新 版 本 ： h t t p s : / / s u p p o r t . f 5 . c o m / c s p / a r t i c l e / K 5 2 1 4 5 2 5 4   临 时 解 决 方 案 如 下 ： 1 、 使 用 t m s h 命 令 登 录 对 应 系 统 ； 2 、 使 用 e d i t   / s y s   h t t p d   a l l - p r o p e r t i e s 命 令 编 辑   h t t p d   组 件 的 配 置 文 件 ； 3 、 编 辑 文 件 内 容 如 下 ： i n c l u d e   '   < L o c a t i o n M a t c h " . * . . ; . * " >   R e d i r e c t   4 0 4   /   < / L o c a t i o n M a t c h >   ' ； 4 、 按 下 E S C 并 依 次 输 入   : w q 保 存 文 件 ； 5 、 执 行 s a v e   / s y s   c o n f i g 命 令 刷 新 配 置 文 件 ； 6 、 使 用 r e s t a r t   s y s   s e r v i c e   h t t p d 命 令 重 启   h t t p d   服 务 ； 7 、 禁 止 外 部   I P 对 T M U I 页 面 的 访 问 。 建 议 使 用 F 5   B I G - I P 的 信 息 系 统 运 营 者 及 时 进 行 自 查 ， 尽 快 修 复 漏 洞 。   附 参 考 链 接 ： h t t p s : / / s u p p o r t . f 5 . c o m / c s p / a r t i c l e / K 5 2 1 4 5 2 5 4
  感 谢 网 神 信 息 技 术 （ 北 京 ） 股 份 有 限 公 司 （ 奇 安 信 集 团 ） 、 北 京 知 道 创 宇 信 息 技 术 股 份 有 限 公 司 为 本 报 告 提 供 的 技 术 支 持 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理