CVE-2025-20029: Инъекция команд в TMSH CLI в F5 BIG-IP

Уязвимость инъекции команд существует в ограниченном CLI «tmsh» от F5, которая позволяет аутентифицированному злоумышленнику использовать команды, доступные пользователю с низкими привилегиями, чтобы обойти ограничения, внедрить произвольные команды и получить удаленное выполнение кода от имени пользователя «root» на целевой системе.

Раскрытие информации вендором:

Раскрытие информации и исправление для этой уязвимости от вендора можно найти здесь.

Требования:

Эта уязвимость требует:

• Действительные учётные данные пользователя
• Возможность отправлять запросы к компоненту iControl REST и/или возможность выполнять команды tmsh

Доказательство концепции:

Более подробная информация и процесс эксплуатации приведены в этом PDF.