🧨 Impatto

• 🌍 Sfruttabile in rete (nessuna autenticazione nelle configurazioni esposte di default)
• 🔓 Non autenticato nella maggior parte degli attacchi reali
• ⚡ Bassa complessità dell'attacco — singola richiesta HTTP costruita ad arte
• 💥 Pieno controllo del sistema (accesso root sull'appliance)
• 📈 CVSS v3.1: 9.8 (Critico) — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• Raggio d'esplosione massiccio: i dispositivi BIG-IP sono bilanciatori di carico / ADC / firewall in infrastrutture critiche, spesso esposti a Internet o in DMZ.

F5 stessa ha dichiarato con elevata sicurezza che i sistemi esposti a Internet e non aggiornati rimanenti erano già compromessi.

📸 Immagini illustrative

📦 Versioni Affette

Intervalli vulnerabili (prima delle patch di luglio 2020):

Moduli interessati: TMUI / utility di configurazione (in genere porte 443/8443).

🔎 Causa Tecnica Principale

• Directory traversal + path traversal tramite sequenze ..;/ nelle pagine JSP di TMUI
• Disallineamento del parser tra frontend (Apache) → backend (Tomcat/Java)
• Invocazione non sicura dei comandi tmsh e operazioni sui file da percorsi non autenticati
• Consentiva il bypass dell'autenticazione → accesso diretto a funzioni amministrative (es. tmshCmd.jsp, fileRead.jsp)

Classico "breaking the parser chain" che porta a RCE non autenticata.

🛠 Rimedio

✅ Azioni Immediate (anche nel 2026)

• Aggiornare a una versione moderna e supportata di BIG-IP (tutti i rami successivi al 2020 includono la correzione — consultare la matrice di supporto F5)
• Se l'applicazione della patch è stata ritardata (solo storico):
  • Bloccare l'accesso pubblico alle porte di gestione (443/8443)
  • Utilizzare iRules / AFM per eliminare le richieste con pattern ..;/tmui/
  • Disabilitare TMUI se non necessario
• Presumere una compromissione se il dispositivo era esposto a Internet e non aggiornato in qualsiasi momento tra il 2020 e il 2021: IR completo, rotazione delle credenziali, analisi forense.

🧪 Suggerimenti per il Rilevamento

Cercare nei log / traffico di rete:

• Richieste contenenti /tmui/login.jsp/..;/ o traversal simili
• Endpoint come tmshCmd.jsp, fileRead.jsp, fileSave.jsp
• Comandi tmsh o operazioni sui file insoliti
• Risposte 200/500 con contenuti inaspettati dopo percorsi sospetti

Regole Zeek / Suricata e modulo Metasploit sono apparsi nel giro di giorni.

📚 Tabella Riepilogativa

⚠️ Nota Finale (Marzo 2026)

Ora si tratta di una vulnerabilità di circa 6 anni fa.
Qualsiasi F5 BIG-IP correttamente manutenuto dovrebbe essere stato aggiornato molto tempo fa.
Tuttavia, gli apparecchi dimenticati / legacy / non manutenuti esposti a Internet rimangono un rischio realistico: considerare qualsiasi scoperta del genere come indicatore di compromissione immediata.

Fonti ufficiali:

• F5 K52145254 → https://support.f5.com/csp/article/K52145254
• NVD → https://nvd.nist.gov/vuln/detail/CVE-2020-5902
• CISA AA20-206A → https://www.cisa.gov/news-events/cybersecurity-advisories/aa20-206a

Patchate tutto. Segmentate le interfacce di gestione. State al sicuro. 🛡️