F5 BIG-IP 产品曝出高危严重漏洞 中国约 1600 台设备受影响

行业资讯 | 2020-07-08


近日,网络安全公司 Positive Technologies 披露,F5 网络的 BIG-IP ADC 产品存在一个严重和高危安全漏洞。利用该漏洞,攻击者有可能完全控制目标系统。

据悉,F5BIG-IP软件和硬件解决方案的用户有政府、财富500强、银行和服务提供商以及知名科技公司(包括微软、甲骨文和Facebook等)。BIG-IP设备可以为组织提供应用程序加速、负载均衡、SSL卸载和Web应用程序防火墙等功能,因此堪称当前最受欢迎的网络产品之一,并被广泛应用于全球各地的政府网络、ISP的网络、云服务提供商的数据中心以及众多企业网络中。此外,F5还在官网称“财富50强中的48家企业都在使用BIG-IP设备”。

通过使用Shodan搜索引擎扫描,研究者发现有近8400台易受攻击的BIG-IP设备暴露在互联网上,其中40%位于美国。

然而,还有19%的产品分布于中国,大约为1600台。简言之,中国有近1600台F5BIG-IP产品受该漏洞影响,非常容易遭受攻击。

漏洞详情

据了解,Positive Technologies的安全研究人员Mikhail Klyuchnikov发现这个安全漏洞,并报告给F5公司。

这个安全漏洞被称为“远程代码执行”漏洞(即RCE漏洞),它主要影响BIG-IP的TMUI配置实用程序。

目前,该漏洞编号为CVE-2020-5902,CVSS评分为10,即最严重的安全漏洞等级。

Klyuchnikov说,“远程攻击者利用这个漏洞可以访问BIG-IP配置实用程序,无需授权,即可进行远程代码执行(RCE)。”

漏洞危害

攻击者无需有效凭证即可攻击设备,并且一次成功的漏洞利用允许攻击者创建或删除文件、禁用服务、劫持信息、运行任意系统命令和Java代码、完全侵入系统。

不过,为利用这个安全问题,攻击者必须将恶意制作的HTTP请求发送到托管TMUI的服务器来进行BIG-IP配置。

F5还表示,处于Appliance模式的BIG-IP也容易受到攻击。这个问题未在数据平面上暴露,仅控制平面受到影响。

由于该漏洞的严重性,美国网络司令部7月3日发布推文,催促F5用户紧急修复它们的设备,“请立即给CVE-2020-5902和5903漏洞打上补丁,不要拖到周末”。

图:F5BIG-IP产品曝出高危严重漏洞,中国约1600台设备受影响

而CVE-2020-5903则是由Klyuchnikov发现的另一个安全漏洞——XSS,即跨站脚本攻击。据了解,攻击者利用该漏洞可以进行远程JavaScript代码执行来完全破坏BIG-IP系统。

安全建议

针对CVE-2020-5902和5903漏洞,F5发布了两份安全公告:《K52145254: TMUIRCE vulnerability CVE-2020-5902》和《K43638305:BIG-IP TMUIXSS vulnerability CVE-2020-5903》。

其中,对于CVE-2020-5902漏洞,用户可按照表1进行升级;

表1

对于CVE-2020-5903漏洞,用户可按照表2进行升级。

表2

对于不能立即升级补丁版的用户,F5还提供了临时迁移措施,其中涉及影响所有网络接口、自身IP或管理接口的设置修改。

为说明在这些设备上泄露数据和执行命令有多容易,许多网络安全研究人员已经开始公开发布F5BIG-IPCVE-2020-5092的漏洞利用详情。还有研究者创建了一个GitHub repository(存储库),该存储库列出了执行各种任务的PoC。


F5BIG-IP产品曝出高危严重漏洞,中国约1600台设备受影响F5BIG-IP产品曝出高危严重漏洞,中国约1600台设备受影响

而NCC集团的Rich Warren已经看到尝试利用F5BIG-IP设备漏洞发起的远程攻击活动。

毫无疑问,无论是APT,还是state-sponsoredactors、勒索软件运营者等,它们都可能利用此漏洞实施攻击,入侵系统,获取数据。因此,请立即修复漏洞!

来源:infoq

相关文章 「万网主机」服务器租用中宽带与流量的关系 「宿主机」香港服务器哪个机房好 「服务器电源维修」如何购买香港服务器 「域名主机管理系统」香港新世界机房服务器好吗 「域名主机空间」香港服务器带宽小不够用?可以升级带宽吗? 「主机系统」香港服务器托管常见问题解答 「郑州服务器维修」香港5M独享带宽服务器租用要多少钱 「网通服务器租用」什么是三线服务器,三线服务器比双线的好在哪? 「asp服务器软件」三线直连的香港服务器租用 「终端服务器」租用香港服务器常见的错误行为
上一篇:

变迁中的China Joy:告别猎艳时代,出海、5G与电竞成2019关键词

下一篇:

李克强贵州考察数据中心释放什么信号?

XRSERVERS

在线
客服

在线客服:7*24小时在线

顶部