(再次更新)「威胁通告」F5 BIG-IP TMUI 远程代码执行漏洞 (CVE-2020-5902)

综述

近日,F5官方发布公告修复了一个流量管理用户界面(TMUI)存在一个远程代码执行漏洞(CVE-2020-5902)。此漏洞允许未经身份验证的攻击者或经过身份验证的用户通过BIG-IP管理端口和/或自身IP对TMUI进行网络访问,以执行任意系统命令,创建或删除文件,禁用服务和/或执行任意操作Java代码。此漏洞可能导致完整的系统危害。目前监测到网络上已经有POC,并且已有利用该漏洞的攻击行为出现,建议用户尽快升级进行防护。

F5 BIG-IP 是美国 F5 公司的一款集成了网络流量管理、应用程序安全管理、负载均衡等功能的应用交付平台。

当地时间7月7日,F5官方通告页面做出更新,表示此前提供的httpd 配置缓解措施存在被绕过的风险,针对此问题,官方更新了配置方案。

当地时间7月11日,F5官方通告页面再次做出更新,表示7号提供的缓解措施仍有被绕过的风险,并提供了新的配置。

参考链接:

https://support.f5.com/csp/article/K52145254

受影响产品版本

  • F5 BIG-IP 15.x 已知易受攻击版本 15.0.0-15.1.0
  • F5 BIG-IP 14.x 已知易受攻击版本 14.1.0-14.1.2
  • F5 BIG-IP 13.x 已知易受攻击版本 13.1.0-13.1.3
  • F5 BIG-IP 12.x 已知易受攻击版本 12.1.0-12.1.5
  • F5 BIG-IP 11.x 已知易受攻击版本 11.6.1-11.6.5

不受影响版本

  • F5 BIG-IP  15.1.0.4
  • F5 BIG-IP  14.1.2.6
  • F5 BIG-IP  13.1.3.4
  • F5 BIG-IP  12.1.5.2
  • F5 BIG-IP  11.6.5.2

解决方案

 F5官方已经发布了最新版本修复了该漏洞,建议受影响的用户应尽快升级进行防护。

绿盟科技远程安全评估系统(RSAS)与WEB应用漏洞扫描系统(WVSS)已具备对此漏洞(CVE-2020-5902)的扫描与检测能力。

绿盟科技Web应用防护系统(WAF)现有规则(编号27526188)已可进行防护。

详细内容参见《「防护方案」F5 BIG-IP TMUI 远程代码执行漏洞(CVE-2020-5902)》

暂时不方便升级的用户可以采取以下临时缓解措施:

  1. 通过输入以下命令登录到TMOS Shell(tmsh):

tmsh

  1. 通过输入以下命令来编辑httpd属性:

edit /sys httpd all-properties

  1. 将文件中<include>部分改为下列内容:

include ‘

<LocationMatch “;”>

Redirect 404 /

</LocationMatch>

<LocationMatch “hsqldb”>

Redirect 404 /

</LocationMatch>

  1. 输入以下命令将更改写入配置文件并保存:

Esc

:wq!

  1. 输入以下命令保存配置:

save /sys config

  1. 输入以下命令重新启动httpd服务:

restart sys service httpd

可以通过访问以下url来验证缓解措施是否有效:

https://[IP ADDRESS]/tmui/login.jsp/..;/login.jsp

https://[IP ADDRESS]/hsqldb%0a

在应用缓解措施之前,会加载页面。而应用缓解措施之后,将收到404响应。

另,禁止外部IP对于TMUI的访问,或只允许管理人员在安全网络环境下访问。

更多信息可以参考F5官方通告:

参考官方链接:

https://support.f5.com/csp/article/K52145254

Spread the word. Share this post!

Meet The Author

Leave Comment