综述
近日，F5官方发布公告修复了一个流量管理用户界面（TMUI）存在一个远程代码执行漏洞（CVE-2020-5902）。此漏洞允许未经身份验证的攻击者或经过身份验证的用户通过BIG-IP管理端口和/或自身IP对TMUI进行网络访问，以执行任意系统命令，创建或删除文件，禁用服务和/或执行任意操作Java代码。此漏洞可能导致完整的系统危害。目前监测到网络上已经有POC，并且已有利用该漏洞的攻击行为出现，建议用户尽快升级进行防护。
F5 BIG-IP 是美国 F5 公司的一款集成了网络流量管理、应用程序安全管理、负载均衡等功能的应用交付平台。
当地时间7月7日，F5官方通告页面做出更新，表示此前提供的httpd 配置缓解措施存在被绕过的风险，针对此问题，官方更新了配置方案。
当地时间7月11日，F5官方通告页面再次做出更新，表示7号提供的缓解措施仍有被绕过的风险，并提供了新的配置。
参考链接：
https://support.f5.com/csp/article/K52145254
受影响产品版本
- F5 BIG-IP 15.x 已知易受攻击版本 15.0.0-15.1.0
- F5 BIG-IP 14.x 已知易受攻击版本 14.1.0-14.1.2
- F5 BIG-IP 13.x 已知易受攻击版本 13.1.0-13.1.3
- F5 BIG-IP 12.x 已知易受攻击版本 12.1.0-12.1.5
- F5 BIG-IP 11.x 已知易受攻击版本 11.6.1-11.6.5
不受影响版本
- F5 BIG-IP 15.1.0.4
- F5 BIG-IP 14.1.2.6
- F5 BIG-IP 13.1.3.4
- F5 BIG-IP 12.1.5.2
- F5 BIG-IP 11.6.5.2
解决方案
F5官方已经发布了最新版本修复了该漏洞，建议受影响的用户应尽快升级进行防护。
绿盟科技远程安全评估系统（RSAS）与WEB应用漏洞扫描系统(WVSS)已具备对此漏洞（CVE-2020-5902）的扫描与检测能力。
绿盟科技Web应用防护系统（WAF）现有规则（编号27526188）已可进行防护。
详细内容参见《「防护方案」F5 BIG-IP TMUI 远程代码执行漏洞（CVE-2020-5902）》
暂时不方便升级的用户可以采取以下临时缓解措施：
- 通过输入以下命令登录到TMOS Shell（tmsh）：
tmsh
- 通过输入以下命令来编辑httpd属性：
edit /sys httpd all-properties
- 将文件中<include>部分改为下列内容：
include ‘
<LocationMatch “;”>
Redirect 404 /
</LocationMatch>
<LocationMatch “hsqldb”>
Redirect 404 /
</LocationMatch>
‘
- 输入以下命令将更改写入配置文件并保存：
Esc
:wq!
- 输入以下命令保存配置：
save /sys config
- 输入以下命令重新启动httpd服务：
restart sys service httpd
可以通过访问以下url来验证缓解措施是否有效：
https://[IP ADDRESS]/tmui/login.jsp/..;/login.jsp
https://[IP ADDRESS]/hsqldb%0a
在应用缓解措施之前，会加载页面。而应用缓解措施之后，将收到404响应。
另，禁止外部IP对于TMUI的访问，或只允许管理人员在安全网络环境下访问。
更多信息可以参考F5官方通告：
参考官方链接：