CVE-2025-31644：F5 BIG-IP 设备模式下的命令注入

"save" 命令的 "file" 参数存在命令注入漏洞，拥有 "/mgmt" Web API 或 SSH "tmsh" shell 管理员权限的认证攻击者可利用该漏洞，在目标系统上以 "root" 用户身份获得远程代码执行能力。

注意： 仅当 BIG-IP 以设备模式运行时，此发现才被视为漏洞，因为这可能允许具有管理员角色的认证攻击者绕过设备模式的安全机制，而该机制原本会阻止任意高级 Shell（bash）命令的执行。

厂商披露：

有关此漏洞的厂商披露和修复方案，请参见此处。

要求：

此漏洞需要：

• 有效的用户凭据
• 能够向 iControl REST 组件发送请求，和/或能够执行 tmsh 命令

概念验证：

更多详情及利用过程可参见此 PDF。