一、漏洞概述
近日，绿盟科技CERT监测到F5发布安全公告修复了BIG-IP中的一个身份验证绕过漏洞，未经身份验证的攻击者可使用控制界面进行利用，通过BIG-IP管理界面或自身IP地址对iControl REST接口进行网络访问，实现执行任意系统命令，创建或删除文件以及禁用服务。CVSS评分为9.8，目前已有详情披露，请相关用户尽快采取措施进行防护。
F5 BIG-IP是美国F5公司的一款集成了网络流量管理、应用程序安全管理、负载均衡等功能的应用交付平台。用户可通过iControl REST与F5设备之间进行轻量级、快速的交互。
参考链接：
https://support.f5.com/csp/article/K23605346
二、 影响范围
受影响版本
- BIG-IP 16.1.0 – 16.1.2
- BIG-IP 15.1.0 – 15.1.5
- BIG-IP 14.1.0 – 14.1.4
- BIG-IP 13.1.0 – 13.1.4
- BIG-IP 12.1.0 – 12.1.6
- BIG-IP 11.6.1 – 11.6.5
不受影响版本
- BIG-IP 16.1.2.2
- BIG-IP 15.1.5.1
- BIG-IP 14.1.4.6
- BIG-IP 13.1.5
三、漏洞检测
3.1 版本检测
一、用户可通过在TMOS shell（tmsh）中输入以下命令，查看当前使用的版本：
show /sys version
二、用户也可登录Web管理界面查看当前BIG-IP的版本：
若版本在受影响范围内即存在安全风险。
四、漏洞防护
4.1 官方升级
目前F5官方已在最新版本中修复了该漏洞，请受影响的用户尽快升级版本进行防护，官方下载链接：https://support.f5.com/csp/article/K9502
升级指南与注意事项请参阅：https://support.f5.com/csp/article/K13123
4.2 临时防护措施
若相关用户暂时无法进行升级操作，可采用下列措施进行缓解。
- 通过自有 IP 地址阻止对BIG-IP系统的iControl REST接口的访问；
- 通过管理界面将iControl REST访问限制为仅受信任的用户和设备；
- 修改 BIG-IP httpd 配置。
具体操作可参阅官方文档：
https://support.f5.com/csp/article/K23605346
声明
本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。
绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。