PT-2024-1930 · F5 · Big-Ip+3
Publicado
2024-02-14
·
Atualizado
2025-01-23
·
CVE-2024-21782
CVSS v3.1
6.7
Média
| Vetor | AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do BIG-IP anteriores à versão corrigida
Versões do BIG-IQ anteriores à versão corrigida
Descrição
A vulnerabilidade permite que administradores de recursos e gerentes de certificados do BIG-IP ou BIG-IQ, que tenham acesso ao utilitário de cópia segura (scp), mas não tenham acesso ao shell avançado (bash), executem comandos arbitrários por meio de uma sequência de comando especialmente criada. Isso se deve a uma correção incompleta de um problema anterior. A vulnerabilidade também está relacionada ao upload ilimitado de arquivos de tipos perigosos em vários módulos do BIG-IP, incluindo o Access Policy Manager, o Advanced Firewall Manager e outros. A exploração da vulnerabilidade pode permitir que um invasor execute comandos arbitrários.
Recomendações
Para versões do BIG-IP anteriores à versão corrigida, considere desativar o utilitário
scp até que um patch esteja disponível.Para versões do BIG-IQ anteriores à versão corrigida, considere restringir o acesso ao utilitário
scp até que um patch esteja disponível.Como solução alternativa temporária, considere limitar o upload de arquivos para impedir a exploração da vulnerabilidade de upload ilimitado de arquivos nos módulos BIG-IP afetados.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Access Policy Manager
Advanced Firewall Manager
Big-Ip
Big-Iq