搜索

[28388] 2020-07-05_F5发布有关BIG-IPTMUIRCE漏洞CVE-2020-5902的安全公告

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-07-05_F5发布有关BIG-IPTMUIRCE漏洞CVE-2020-5902的安全公告 F 5 发 布 有 关 B I G - I P   T M U I   R C E 漏 洞 C V E - 2 0 2 0 - 5 9 0 2 的 安 全 公 告 O t s 安 全   2 0 2 0 - 0 7 - 0 5 F 5 发 布 了 一 个 安 全 公 告 ， 以 解 决 B I G - I P 流 量 管 理 用 户 界 面 （ T M U I ） 中 的 远 程 代 码 执 行 （ R C E ） 漏 洞 C V E - 2 0 2 0 - 5 9 0 2 。 攻 击 者 可 能 利 用 此 漏 洞 来 控 制 受 影 响 的 系 统 。 根 据 威 胁 情 报 监 控 ， P o s i t i v e   T e c h n o l o g i e s 的 专 家 发 现 ， 到 2 0 2 0 年 6 月 ， 全 球 互 联 网 上 有 8 , 0 0 0 多 个 易 受 攻 击 的 设 备 可 供 使 用 ， 其 中 4 0 ％ 位 于 美 国 ， 1 6 ％ 在 中 国 ， 3 ％ 在 台 湾 ， 在 加 拿 大 和 印 度 尼 西 亚 为 2 . 5 ％ 。 在 俄 罗 斯 ， 不 到 1 ％ 的 易 受 攻 击 设 备 被 检 测 到 。 漏 洞 C V E - 2 0 2 0 - 5 9 0 2 的 C V S S 评 分 为 1 0 ， 表 示 危 险 度 最 高 。 要 利 用 此 漏 洞 ， 攻 击 者 需 要 向 托 管 用 于 B I G - I P 配 置 的 流 量 管 理 用 户 界 面 （ T M U I ） 实 用 程 序 的 服 务 器 发 送 特 制 的 H T T P 请 求 。 研 究 员 M i k h a i l   K l y u c h n i k o v 说 ： “ 通 过 利 用 此 漏 洞 ， 具 有 B I G - I P 配 置 实 用 程 序 访 问 权 限 的 远 程 攻 击 者 可 以 在 未 经 授 权 的 情 况 下 执 行 远 程 代 码 执 行 （ R C E   1 ） 。 攻 击 者 可 以 创 建 或 删 除 文 件 ， 禁 用 服 务 ， 拦 截 信 息 ， 运 行 任 意 系 统 命 令 和 J a v a 代 码 ， 完 全 破 坏 系 统 ， 以 及 追 求 其 他 目 标 ， 例 如 内 部 网 络 。 在 这 种 情 况 下 ， R C E 是 由 多 个 组 件 中 的 安 全 漏 洞 导 致 的 ， 例 如 允 许 目 录 遍 历 的 组 件 。 对 于 在 S h o d a n 等 搜 索 引 擎 上 列 出 了 F 5   B I G - I P   W e b 界 面 的 公 司 而 言 ， 这 尤 其 危 险 。 幸 运 的 是 ， 大 多 数 使 用 该 产 品 的 公 司 都 无 法 通 过 互 联 网 访 问 该 界 面 。 ” 建 议 受 影 响 的 公 司 进 行 更 新 。 应 将 B I G - I P 的 脆 弱 版 本 （ 1 1 . 6 . x ， 1 2 . 1 . x ， 1 3 . 1 . x ， 1 4 . 1 . x ， 1 5 . 0 . x ， 1 5 . 1 . x ） 替 换 为 相 应 的 更 新 版 本 （ 1 1 . 6 . 5 . 2 、 1 2 . 1 . 5 . 2 、 1 3 . 1 ） 。 3 . 4 、 1 4 . 1 . 2 . 6 、 1 5 . 1 . 0 . 4 ） 。 A W S ， A z u r e ， G C P 和 阿 里 巴 巴 等 公 共 云 市 场 的 用 户 应 切 换 到 B I G - I P 虚 拟 版 （ V E ） 版 本 1 1 . 6 . 5 . 2 、 1 2 . 1 . 5 . 2 、 1 3 . 1 . 3 . 4 、 1 4 . 1 . 2 . 6 、 1 5 . 0 . 1 . 4 或 1 5 . 1 。 0 . 4 （ 如 果 有 ） 。 其 他 建 议 在 F 5   B I G - I P 公 告 中 给 出 。 为 了 阻 止 这 种 和 其 他 潜 在 的 攻 击 ， 公 司 可 以 部 署 W e b 应 用 程 序 防 火 墙 ， 例 如 P T   A p p l i c a t i o n   F i r e w a l l 。 F 5 还 修 复 了 M i k h a i l   K l y u c h n i k o v 在 B I G - I P 配 置 界 面 中 发 现 的 第 二 个 漏 洞 。 X S S 漏 洞 C V E - 2 0 2 0 - 5 9 0 3 （ 得 分 ： 7 . 5 ） 允 许 以 登 录 用 户 的 身 份 运 行 恶 意 J a v a S c r i p t 代 码 。 如 果 用 户 具 有 管 理 员 特 权 并 有 权 访 问 A d v a n c e d   S h e l l （ b a s h ） ， 则 成 功 利 用 该 漏 洞 可 能 会 导 致 通 过 R C E 完 全 破 坏 B I G - I P 。 F 5 在 安 全 公 告 中 提 供 了 详 细 信 息 和 建 议 。 为 了 阻 止 利 用 诸 如 C V E - 2 0 2 0 - 5 9 0 2 和 C V E - 2 0 2 0 - 5 9 0 3 之 类 的 漏 洞 的 攻 击 ， 公 司 可 以 部 署 W e b 应 用 程 序 防 火 墙 ， 例 如 P T A p p l i c a t i o n   F i r e w a l l 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理