Suivi KEV › F5

CVE-2021-22986 F5 BIG-IP et BIG-IQ Centralized Management : exécution de code à distance via iControl REST

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 3 novembre 2021.

  • Produit : F5 BIG-IP and BIG-IQ Centralized Management
  • Ajoutée au catalogue : 3 novembre 2021
  • Échéance CISA : 17 novembre 2021
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-863
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 100 %

F5 BIG-IP et BIG-IQ Centralized Management contiennent une vulnérabilité d'exécution de code à distance dans l'interface iControl REST qui permet à des attaquants non authentifiés ayant un accès réseau d'exécuter des commandes système, de créer ou de supprimer des fichiers et de désactiver des services.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : 99,9 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
  • Code d’exploitation public : signalé par la NVD.

Versions concernées

  • big-ip access policy manager : versions ≥ 12.1.0 et < 12.1.5.3
  • big-ip access policy manager : versions ≥ 13.1.0 et < 13.1.3.6
  • big-ip access policy manager : versions ≥ 14.1.0 et < 14.1.4
  • big-ip access policy manager : versions ≥ 15.1.0 et < 15.1.2.1
  • big-ip access policy manager : versions ≥ 16.0.0 et < 16.0.1.1
  • big-ip advanced firewall manager : versions ≥ 12.1.0 et < 12.1.5.3
  • big-ip advanced firewall manager : versions ≥ 13.1.0 et < 13.1.3.6
  • big-ip advanced firewall manager : versions ≥ 14.1.0 et < 14.1.4

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Falsification de requête côté serveur (CWE-918) : Le serveur web reçoit une URL ou une requête similaire d'un composant amont et récupère le contenu de cette URL sans s'assurer suffisamment que la requête est envoyée à la destination attendue.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

F5 BIG-IP and BIG-IQ Centralized Management iControl REST Remote Code Execution Vulnerability

F5 BIG-IP and BIG-IQ Centralized Management contain a remote code execution vulnerability in the iControl REST interface that allows unauthenticated attackers with network access to execute system commands, create or delete files, and disable services.

Required action: Apply updates per vendor instructions.

← Toutes les failles F5 · Suivi KEV