Suivi KEV › F5

CVE-2020-5902 F5 BIG-IP : exécution de code à distance dans l'interface utilisateur de gestion du trafic (TMUI)

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 3 novembre 2021.

  • Produit : F5 BIG-IP
  • Ajoutée au catalogue : 3 novembre 2021
  • Échéance CISA : 3 mai 2022
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-22
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : > 99,9 %

L'interface utilisateur de gestion du trafic (TMUI) de F5 BIG-IP contient une vulnérabilité d'exécution de code à distance dans des pages non divulguées.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : > 99,9 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
  • Code d’exploitation public : signalé par la NVD.

Versions concernées

  • big-ip access policy manager : versions ≥ 11.6.1 et < 11.6.5.2
  • big-ip access policy manager : versions ≥ 12.1.0 et < 12.1.5.2
  • big-ip access policy manager : versions ≥ 13.1.0 et < 13.1.3.4
  • big-ip access policy manager : versions ≥ 14.1.0 et < 14.1.2.6
  • big-ip access policy manager : versions ≥ 15.0.0 et ≤ 15.0.1.4
  • big-ip access policy manager : versions ≥ 15.1.0 et < 15.1.0.4
  • big-ip advanced firewall manager : versions ≥ 11.6.1 et < 11.6.5.2
  • big-ip advanced firewall manager : versions ≥ 12.1.0 et < 12.1.5.2

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Limitation inappropriée d'un chemin d'accès à un répertoire restreint (CWE-22) : Le produit utilise une entrée externe pour construire un chemin d'accès destiné à identifier un fichier ou un répertoire situé sous un répertoire parent restreint, mais le produit ne neutralise pas correctement les éléments spéciaux dans le chemin d'accès qui pourraient faire en sorte que celui-ci se résolve à un emplacement en dehors du répertoire restreint.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

F5 BIG-IP Traffic Management User Interface (TMUI) Remote Code Execution Vulnerability

F5 BIG-IP Traffic Management User Interface (TMUI) contains a remote code execution vulnerability in undisclosed pages.

Required action: Apply updates per vendor instructions.

Autres failles exploitées de F5 BIG-IP

  • CVE-2025-53521 — F5 BIG-IP : dépassement de tampon basé sur la pile (27 mars 2026)
  • CVE-2022-1388 — F5 BIG-IP : vulnérabilité d'authentification manquante (10 mai 2022)

← Toutes les failles F5 · Suivi KEV