AG公司云
【误差通告】F5 BIG-IP/BIG-IQ 多个高危误差通告
2021-03-11
一. 误差概述
3月11日 ，AG公司科技监测到F5官方宣布清静通告 ，修复了影响F5的BIG-IP和BIG-IQ的多个高危误差（CVE-2021-22986 ，CVE-2021-22987 ，CVE-2021-22988 ，CVE-2021-22989 ，CVE-2021-22990 ，CVE-2021-22991 ，CVE-2021-22992） ，建议相关用户接纳步伐举行防护。
BIG-IP 是美国 F5 公司的一款集成了网络流量治理、应用程序清静治理、负载平衡等功效的应用交付平台。BIG-IQ 是一款用于治理和协调 F5 清静与应用交付解决计划的智能框架。
参考链接：
https://support.f5.com/csp/article/K02566623
二. 重点误差形貌
iControl REST远程下令执行误差（CVE-2021-22986）：
未经身份验证的攻击者使用控制界面举行使用 ，通过BIG-IP治理界面或自身IP地点对iControl REST接口举行网络会见 ，可执行恣意系统下令 ，建设或删除文件以及禁用服务 ，装备模式下的BIG-IP系统也容易受到攻击。CVSS评分为9.8。
官方通告链接：
https://support.f5.com/csp/article/K03009991
流量治理用户界面（TMUI）远程下令执行误差（CVE-2021-22987）：
当以装备模式运行时 ，经由身份验证的攻击者使用控制界面举行使用 ，通过BIG-IP治理端口或自身IP会见TMUI ，可能导致系统完全受损并破损装备模式 ，CVSS评分为9.9。
官方通告链接：
https://support.f5.com/csp/article/K18132488
TMUI远程下令执行误差（CVE-2021-22988）：
经由身份验证的攻击者使用控制界面使用此误差 ，通过BIG-IP治理端口或自身IP会见TMUI ，可执行恣意系统下令 ，建设或删除文件或禁用服务。
官方通告链接：
https://support.f5.com/csp/article/K70031188
装备模式Advanced WAF/ASM TMUI 远程下令执行误差（CVE-2021-22989）：
当在装备模式下设置了Advanced WAF或ASM时 ，具有治理员 ，资源治理员或应用程序清静治理员角色身份的攻击者通过BIG-IP治理端口或自身地点会见TMUI ，可执行恣意系统下令 ，建设或删除文件 ，或禁用服务。
官方通告链接：
https://support.f5.com/csp/article/K56142644
Advanced WAF/ASM TMUI 远程下令执行误差（CVE-2021-22990）：
在配备了Advanced WAF或BIG-IP ASM的系统上 ，具有治理员 ，资源治理员或应用程序清静治理员角色身份的攻击者通过BIG-IP治理端口或自身IP地点会见TMUI ，可执行恣意系统下令 ，建设或删除文件 ，或禁用服务。
官方通告链接：
https://support.f5.com/csp/article/K45056101
TMM缓冲区溢出误差（CVE-2021-22991）：
流量治理微内核（TMM）URI规范化可能会过失地处置惩罚对虚拟服务器的请求 ，从而触发缓冲区溢出 ，导致DoS攻击。攻击者通过数据层面举行使用 ，在某些情形下 ，可能绕过基于URL的会见控制或实现远程代码执行 ，CVSS评分为9.0。
官方通告链接：
https://support.f5.com/csp/article/K56715231
Advanced WAF/ASM缓冲区溢出误差（CVE-2021-22992）：
对战略中设置了“登录页面”的Advanced WAF / BIG-IP ASM虚拟服务器的恶意HTTP响应可能会触发缓冲区溢出 ，从而导致DoS攻击。攻击者通过数据层面举行使用 ，在某些情形下 ，可能造成远程代码执行。CVSS评分为9.0。
官方通告链接：
https://support.f5.com/csp/article/K52510511
三. 影响规模
CVE-2021-22986：
受影响版本
BIG-IP：16.0.0-16.0.1
BIG-IP：15.1.0-15.1.2
BIG-IP：14.1.0-14.1.3.1
BIG-IP：13.1.0-13.1.3.5
BIG-IP：12.1.0-12.1.5.2
BIG-IQ：7.1.0-7.1.0.2
BIG-IQ：7.0.0-7.0.0.1
BIG-IQ：6.0.0-6.1.0
不受影响版本
BIG-IP：16.0.1.1
BIG-IP：15.1.2.1
BIG-IP：14.1.4
BIG-IP：13.1.3.6
BIG-IP：12.1.5.3
BIG-IQ：8.0.0
BIG-IQ：7.1.0.3
BIG-IQ：7.0.0.2
CVE-2021-22987/CVE-2021-22988/CVE-2021-22989/CVE-2021-22990/CVE-2021-22992：
受影响版本
BIG-IP：16.0.0-16.0.1
BIG-IP：15.1.0-15.1.2
BIG-IP：14.1.0-14.1.3.1
BIG-IP：13.1.0-13.1.3.5
BIG-IP：12.1.0-12.1.5.2
BIG-IP：11.6.1-11.6.5.2
不受影响版本
BIG-IP：16.0.1.1
BIG-IP：15.1.2.1
BIG-IP：14.1.4
BIG-IP：13.1.3.6
BIG-IP：12.1.5.3
BIG-IP：11.6.5.3
CVE-2021-22991：
受影响版本
BIG-IP：16.0.0-16.0.1
BIG-IP：15.1.0-15.1.2
BIG-IP：14.1.0-14.1.3.1
BIG-IP：13.1.0-13.1.3.5
BIG-IP：12.1.0-12.1.5.2
不受影响版本
BIG-IP：16.0.1.1
BIG-IP：15.1.2.1
BIG-IP：14.1.4
BIG-IP：13.1.3.6
BIG-IP：12.1.5.3
四. 误差检测
4.1 版本检测
一、用户可通过在TMOS shell（tmsh）中输入以下下令 ，审查目今使用的版本：
|
show sys version |
二、用户也可登录Web治理界面审查目今BIG-IP的版本：
若版本在受影响规模内即保存清静危害。
五. 误差防护
5.1 官方升级
现在F5官方已在最新版本中修复了以上误差 ，请受影响的用户尽快升级至对应版本举行防护 ，官方下载链接：
BIG-IP：https://support.f5.com/csp/article/K9502
BIG-IQ：https://support.f5.com/csp/article/K15113
升级指南与注重事项请参阅:
BIG-IP：https://support.f5.com/csp/article/K13123
BIG-IQ：https://support.f5.com/csp/article/K15106
5.2 暂时防护步伐
若相关用户暂时无法举行升级操作 ，可接纳以下步伐举行缓解。
CVE-2021-22986：
榨取通过自身IP地点会见iControl REST：将系统中每个IP地点的Port Lockdown选项设置为Allow None。 若是必需开放某端口 ，则开启Allow Custom选项。 默认情形下 ，iControl REST监听443端口。
榨取通过治理界面会见iControl REST：仅将治剖析见权限开放给受信托的用户和F5装备。
CVE-2021-22987/CVE-2021-22988/CVE-2021-22989/ CVE-2021-22989：
榨取通过自身IP地点会见设置适用程序：将系统上每个IP地点的Port Lockdown选项设置更改为Allow None。 若是必需开放某端口 ，则开启Allow Custom选项。默认情形下 ，设置适用程序监听443端口。
榨取通过治理界面会见设置适用程序：仅将治剖析见权限开放给受信托的用户和F5装备。
CVE-2021-22992：
使用iRule缓解恶意毗连：
1. 登录设置适用程序
2. 进入Local Traffic > iRules > iRule List
3. 选择Create
4. 输入iRule的名称
5. 在Definition中添加以下iRule代码：
The server response is invalid. Please inform the administrator. Error: K52510511
|
# Mitigation for K52510511: Advanced WAF/ASM Buffer Overflow vulnerability CVE-2021-22992 when RULE_INIT { # Set static::debug 1 to enable debug logging. set static::debug 0 set static::max_length 4000 } when HTTP_REQUEST { if {$static::debug}{ set LogString "Client [IP::client_addr]:[TCP::client_port] -> [HTTP::host][HTTP::uri]" } set uri [string tolower [HTTP::uri]] } when HTTP_RESPONSE { set header_names [HTTP::header names] set combined_header_name [join $header_names ""] set combined_header_name_len [string length $combined_header_name] if {$static::debug}{ log local0. "=================response======================" log local0. "$LogString (response)" log local0. "combined header names: $combined_header_name" foreach aHeader [HTTP::header names] { log local0. "$aHeader: [HTTP::header value $aHeader]" } log local0. "the length of the combined response header names: $combined_header_name_len" log local0. "=============================================" } if { ( $combined_header_name_len > $static::max_length ) } { log local0. "In the response of '$uri', the length of the combined header names $combined_header_name_len exceeds the maximum value $static::max_length. See K52510511: Advanced WAF/ASM Buffer Overflow vulnerability CVE-2021-22992" HTTP::respond 502 content " |
"
} } |
6. 选择Finished
7. 将iRule与受影响的虚拟服务器相关联
修改登录界面设置：
1. 登录到受影响的Advanced WAF/ASM系统的设置适用程序
2. 进入Security > Application Security > Sessions and Logins > Login Pages List
3. 从Current edited policy list中选择清静战略
4. 从这两个设置中删除所有设置
5. 选择生涯以生涯更改
6. 选择Apply Policy ，应用更改
7. 选择OK以确认操作
删除上岸页面：
1. 登录到受影响的BIG-IP Advanced WAF/ASM系统的设置适用程序
2. 进入Security > Application Security > Sessions and Logins > Login Pages List
3. 从Current edited policy list中选择清静战略
4. 选摘要删除的登录页面设置
5. 选择Delete
6. 选择OK确妊佚
7. 选择Apply Policy ，应用更改
8. 选择OK确认操作
声明
本清静通告仅用来形貌可能保存的清静问题 ，AG公司科技不为此清静通告提供任何包管或允许。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失 ，均由使用者自己认真 ，AG公司科技以及清静通告作者不为此肩负任何责任。
AG公司科技拥有对此清静通告的修改息争释权。如欲转载或撒播此清静通告 ，必需包管此清静通告的完整性 ，包括版权声明等所有内容。未经AG公司科技允许 ，不得恣意修改或者增减此清静通告内容 ，不得以任何方法将其用于商业目的。
