F5 Seite 5

Die HTTPS-Health-Monitore von F5 BIG-IP validieren die Identität des überwachten Servers nicht. Betroffen sind BIG-IP 13.0.0-13.0.1, 12.1.0-12.1.3.6 sowie 11.2.1-11.6.3.2. Dadurch kann ein Angreifer in der Kommunikationskette die Überwachung unbemerkt manipulieren. CVSS-Basiswert: 8.1 (Hoch).

Unter bestimmten Bedingungen kann der Traffic Management Microkernel (TMM) auf F5 BIG-IP 13.0.0, 12.1.0-12.1.2, 11.6.0-11.6.3.1 oder 11.5.0-11.5.6 bei der Verarbeitung von SSL-Forward-Proxy-Verkehr abstuerzen (core). Daraus ergibt sich ein Denial of Service. CVSS-Basiswert: 7.5 (Hoch).

Unter bestimmten Bedingungen kann der TMM-Prozess auf F5 BIG-IP beim Verarbeiten von SSL-Forward-Proxy-Datenverkehr abstürzen (Core). CVSS-Basiswert: 7.5 (Hoch).

In mehreren Versionen von F5 BIG-IP können speziell gestaltete HTTP-Antworten, die von einem virtuellen Server mit einem QoE-Profil mit aktiviertem Video verarbeitet werden, dazu führen, dass der TMM Antwortdaten falsch puffert und neu startet. Dies führt zu einem Denial of Service. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: betroffene Systeme auf eine vom Hersteller als behoben ausgewiesene Version aktualisieren.

Die svpn-Komponente des F5 BIG-IP APM Clients vor Version 7.1.7 für Linux und macOS läuft als privilegierter Prozess und kann es einem nicht privilegierten Benutzer erlauben, auf dem lokalen Client-Host Super-User-Rechte zu erlangen. Ein lokaler Angreifer kann so an sensible Informationen gelangen, bestimmte Daten manipulieren oder den Dienst stören. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: betroffene Software gemäss F5-Advisory aktualisieren.

In F5 BIG-IP der Versionen 13.1.0-13.1.0.3, 13.0.0, 12.1.0-12.1.3.3, 11.6.1-11.6.3.1, 11.5.1-11.5.5 und 11.2.1 führt ein fehlerhafter TLS-Handshake zum Absturz des Traffic Management Microkernel (TMM) und damit zu einer Dienstunterbrechung. Die Schwachstelle ist auf der Datenebene nur bei aktivierter Proxy-SSL-Konfiguration exponiert; die Steuerungsebene ist nicht betroffen. CVSS-Basiswert: 7.5 (Hoch).

Auf F5 BIG-IP in mehreren Versionen der Zweige 11.2 bis 13.1 sowie Enterprise Manager 3.1.1 werden Beschränkungen auf erlaubte Befehle möglicherweise nicht durchgesetzt, wenn authentifizierte administrative Benutzer Befehle in der Traffic Management User Interface (TMUI), auch BIG-IP Configuration Utility genannt, ausführen. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: betroffene Software gemäss F5-Advisory aktualisieren.

Auf F5 BIG-IP der Versionen 13.1.0 bis 13.1.0.5 können bei aktiviertem Large Receive Offload (LRO) und SYN-Cookies (Standardeinstellung) nicht näher beschriebene Verkehrsmuster einen Neustart von TMM auslösen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: betroffene Software gemäss F5-Advisory aktualisieren.

In F5 BIG-IP 13.1.0–13.1.0.5 können manipulierte HTTP/2-Anfrage-Frames einen Denial of Service auslösen. Es besteht eine Exposition auf der Data Plane für virtuelle Server mit aktiviertem HTTP2-Profil; die Control Plane ist laut Quelle nicht betroffen. CVSS-Basiswert: 7.5 (Hoch).

In F5 BIG-IP 13.1.0 bis 13.1.0.5 können fehlerhafte TCP-Pakete an eine Self-IP-Adresse oder einen FastL4-virtuellen Server eine Dienstunterbrechung verursachen. Betroffen sind die virtuellen Server der Data Plane und Self-IPs; die Control Plane ist nicht betroffen. CVSS-Basiswert: 7.5 (Hoch).

Antworten auf SOCKS-Proxy-Anfragen über F5 BIG-IP können eine Störung der vom Traffic Management Microkernel (TMM) bereitgestellten Dienste verursachen. Die Datenebene ist nur betroffen und exponiert, wenn einem virtuellen Server ein SOCKS-Proxy-Profil zugewiesen ist; die Steuerungsebene ist nicht betroffen. Betroffen sind BIG-IP 13.0.0, 12.0.0-12.1.3.1, 11.6.1-11.6.2 und 11.5.1-11.5.5. CVSS-Basiswert: 7.5 (Hoch).

In F5 BIG-IP der Versionen 13.0.0, 12.0.0-12.1.3.1, 11.6.0-11.6.2, 11.4.1-11.5.5 und 11.2.1 können fehlerhafte SPDY- oder HTTP/2-Anfragen zu einer Dienstunterbrechung des Traffic Management Microkernel (TMM) führen. Die Datenebene ist nur betroffen, wenn ein SPDY- oder HTTP/2-Profil an einen virtuellen Server gebunden ist; die Steuerungsebene ist nicht betroffen. CVSS-Basiswert: 7.5 (Hoch).

Auf F5 BIG-IP 13.0.0, 12.1.0-12.1.3.1, 11.6.1-11.6.2 oder 11.5.1-11.5.5 können vCMP-Gaeste auf VIPRION-Blades der Serien 2100, 4200 und 4300 Chiffretext aus bestehenden SSL-Sitzungen mit kleiner MTU nicht korrekt entschlüsseln. CVSS-Basiswert: 7.5 (Hoch).

In F5 BIG-IP 11.5.4 HF4 bis 11.5.5 kann der Traffic Management Microkernel (TMM) neu starten, wenn er eine bestimmte Paketsequenz auf virtuellen IPv6-Servern verarbeitet. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: betroffene Systeme auf eine vom Hersteller als behoben ausgewiesene Version aktualisieren.

In F5 BIG-IP 13.1.0 bis 13.1.0.3 und 13.0.0 werden bei der Ausführung von Befehlen durch authentifizierte administrative Nutzer in der Traffic Management User Interface (TMUI, auch BIG-IP Configuration utility) die Beschränkungen der erlaubten Befehle möglicherweise nicht durchgesetzt. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: betroffene Systeme auf eine vom Hersteller als behoben ausgewiesene Version aktualisieren.

F5 BIG-IP ASM der Versionen 12.1.0 bis 12.1.1 kann entfernten Angreifern über eine manipulierte HTTP-Anfrage einen Denial of Service (DoS) ermöglichen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: betroffene Software gemäss F5-Advisory aktualisieren.

In F5 BIG-IP 13.0.0 bis 13.1.0.3 können Angreifer mit einem manipuliert erstellten Client-Zertifikat Dienste auf dem BIG-IP-System stören. Betroffen sind virtuelle Server mit einem Client-SSL-Profil, das die Client-Zertifikatsauthentifizierung aktiviert; diese ist standardmässig nicht aktiv. Die Control Plane ist nicht exponiert. CVSS-Basiswert: 7.5 (Hoch).

Auf F5 BIG-IP 13.0.0-13.1.0.3 und 12.0.0-12.1.3.1 kann die Traffic Management Microkernel (TMM) neu starten, wenn eine speziell gestaltete Seite über einen virtuellen Server mit einer PEM-Richtlinie verarbeitet wird, die Content Insertion als Aktion nutzt. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine fehlerbereinigte Version gemäss F5-Advisory.

Die Traffic Management Microkernel (TMM) von F5 BIG-IP verarbeitet bestimmte fehlerhafte WebSocket-Anfragen und -Antworten nicht korrekt, was entfernten Angreifern einen Denial of Service oder möglicherweise eine Remote-Codeausführung erlaubt. Betroffen sind die Versionen 13.0.0-13.1.0.3 und 12.1.0-12.1.3.1. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine fehlerbereinigte Version gemäss F5-Advisory.

Auf F5 BIG-IP kann ein speziell konfigurierter virtueller Server beim Empfang von Datenverkehr nicht näher beschriebener Art einen Absturz des TMM-Prozesses auslösen, der die konfigurierte Failover-Aktion nach sich zieht und so möglicherweise einen Denial of Service verursacht. Die Exposition besteht nur auf der Datenebene, nicht auf der Steuerungsebene. CVSS-Basiswert: 7.5 (Hoch).

Unter bestimmten Bedingungen können in F5-BIG-IP-Systemen mit FastL4-Profilen, bei denen die Option „Reassemble IP Fragments“ deaktiviert ist, bestimmte grosse fragmentierte Pakete einen Neustart des Traffic Management Microkernel (TMM) auslösen. CVSS-Basiswert: 7.5 (Hoch).

Auf F5 BIG-IP Systemen der Versionen 13.0.0, 12.1.0 bis 12.1.3.1 sowie 11.6.1 bis 11.6.2 kann der bd-Daemon von BIG-IP ASM unter bestimmten Umständen einen Speicher-Core-Dump auslösen, wenn auf Systemen mit 48 oder mehr CPU-Kernen nicht näher beschriebene Datentypen verarbeitet werden. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: betroffene Software gemäss F5-Advisory aktualisieren.

In mehreren Versionen von F5 BIG-IP APM liefern Portal-Access-Anfragen in einigen Fällen nicht die vorgesehenen Ressourcen zurück. Dies kann Zugriff auf interne BIG-IP-APM-Ressourcen ermöglichen; Anwendungsressourcen und Backend-Server sind laut Quelle nicht betroffen. CVSS-Basiswert: 7.6 (Hoch).

In F5 BIG-IP APM der Versionen 13.0.0 und 12.1.2 können getunnelte VPN-Flows unter bestimmten Umständen dazu führen, dass eine VPN/PPP-Verbindung vorzeitig freigegeben wird oder TMM mit einer Assertion nicht mehr reagiert. Ein Angreifer kann dadurch den Datenverkehr stören oder ein Failover des BIG-IP-Systems auf ein anderes Gerät der Gerätegruppe auslösen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: betroffene Software gemäss F5-Advisory aktualisieren.

In F5 BIG-IP (unter anderem LTM, AAM, AFM, Analytics, APM, ASM, DNS, GTM, Link Controller, PEM und WebSafe) der Versionen 13.0.0, 12.0.0 bis 12.1.2, 11.6.0 bis 11.6.1 sowie 11.5.0 bis 11.5.4 kann eine nicht offengelegte Paketsequenz an die High-Availability-State-Mirror-Listener einen Neustart des Traffic Management Microkernel (TMM) auslösen. CVSS-Basiswert: 7.5 (Hoch).

In F5 BIG-IP (u. a. LTM, APM, ASM, DNS) der Versionen 13.0.0 und 12.1.0–12.1.2 können nicht näher offengelegte HTTP-Anfragen einen Denial of Service auslösen. CVSS-Basiswert: 7.5 (Hoch).

In F5 BIG-IP (Softwareversion 13.0.0) kann ein langsames Speicherleck auftreten, wenn nicht offengelegte IPv4- oder IPv6-Pakete an den Management-Port oder an Self-IP-Adressen gesendet werden. Dies kann zu Out-of-Memory-Zuständen (OOM) führen. CVSS-Basiswert: 7.5 (Hoch).

In F5 BIG-IP mit HTTP-Profil können bösartige Anfragen an virtuelle Server die Traffic Management Microkernel (TMM) zum Neustart bringen; betroffen sind Version 13.0.0 und 12.1.0-12.1.2. Die Schwachstelle wird über BIG-IP-APM-Profile unabhängig von den Einstellungen sowie über die Nicht-Standard-Option normalize URI in iRules oder LTM-Richtlinien exponiert. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine fehlerbereinigte Version gemäss F5-Advisory.

In F5 BIG-IP und weiteren Produkten der Version 13.0.0 können nicht offengelegte Anfragen an virtuelle Server, die das HTTP/2-Profil nutzen, zu einer Unterbrechung des Diensts im Traffic Management Microkernel führen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: betroffene Systeme auf eine vom Hersteller als behoben ausgewiesene Version aktualisieren.

In F5 BIG-IP verarbeitet der Traffic Management Microkernel (TMM) unter bestimmten Umständen fehlerhafte TLS-1.2-Records nicht korrekt. Entfernte Angreifer können dadurch einen Denial of Service auslösen oder unter Umständen Code auf dem BIG-IP-System ausführen. CVSS-Basiswert: 8.1 (Hoch).

In F5 BIG-IP (u. a. LTM, APM, ASM, DNS) der Versionen 13.0.0 und 12.1.0–12.1.2 können Race Conditions in iControl REST dazu führen, dass Befehle mit anderen als den erwarteten Berechtigungsstufen ausgeführt werden. CVSS-Basiswert: 7.5 (Hoch).

In mehreren F5-BIG-IP-Produkten werden Verbindungen, die von einem virtuellen Server mit zugeordnetem SOCKS-Profil behandelt werden, unter bestimmten Umständen nicht korrekt aufgeräumt. Dies kann zu einer Ressourcenerschöpfung führen; die Verbindungen lassen sich nur durch einen Neustart des TMM entfernen, andernfalls kann das BIG-IP mit der Zeit keine weiteren Verbindungen mehr verarbeiten. CVSS-Basiswert: 7.5 (Hoch).

In F5 BIG-IP (u. a. LTM, APM, ASM, DNS) sind virtuelle Server mit HTTP-Explicit-Proxy-Funktion und/oder SOCKS-Profil für einen unauthentifizierten Angriff aus der Ferne anfällig. Dieser erlaubt die Änderung der BIG-IP-Systemkonfiguration, das Auslesen sensibler Systemdateien und möglicherweise die Ausführung von Befehlen auf dem System. Betroffen sind die Versionen 11.5.0–11.5.4, 11.6.0–11.6.1 und 12.0.0–12.1.1. CVSS-Basiswert: 8.1 (Hoch).

In F5 BIG-IP PEM 12.1.0 bis 12.1.2 wird beim Herunterladen der Type-Allocation-Code-Datenbank (TAC) über HTTPS das Serverzertifikat nicht überprüft, wodurch Angreifer in privilegierter Netzwerkposition einen Man-in-the-Middle-Angriff auf diese Verbindungen führen können. Nicht betroffen sind Kunden ohne BIG-IP PEM, ohne konfigurierten TAC-Download oder ohne HTTPS für diesen Download. CVSS-Basiswert: 7.4 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine fehlerbereinigte Version gemäss F5-Advisory.

iControl REST in F5 BIG-IP (12.0.0–12.1.2 und 13.0.0) bietet einen Dienst, der BIGIPAuthCookie-Cookies in X-F5-Auth-Token-Token umwandelt. Da Cookies bei dieser Umwandlung nicht erneut validiert werden, lassen sich einst gültige, inzwischen abgelaufene Cookies in gültige Token umwandeln. CVSS-Basiswert: 7.3 (Hoch).

Der Traffic Management Microkernel (TMM) in F5 BIG-IP (unter anderem LTM, AAM, AFM, APM, ASM, GTM, PEM und WebSafe) kann bei der Verarbeitung bestimmter Arten von TCP-Verkehr ein Speicherleck aufweisen. Entfernte Angreifer können über ein gezielt präpariertes TCP-Paket einen Denial of Service auslösen. CVSS-Basiswert: 7.5 (Hoch).

In F5 BIG-IP 11.2.1, 11.4.0 bis 11.6.1 und 12.0.0 bis 12.1.2 kann ein unauthentifizierter Nutzer mit Zugriff auf die Control Plane über einen nicht näher offengelegten Mechanismus beliebige Dateien löschen. CVSS-Basiswert: 7.5 (Hoch).

In F5 BIG-IP kann ein authentifizierter Angreifer über eine präparierte iControl-REST-Verbindung eine Rechteausweitung erreichen. CVSS-Basiswert: 8.8 (Hoch).

In F5 BIG-IP 12.1.0 bis 12.1.2 können bestimmte WebSocket-Verkehrsmuster eine Dienststörung für virtuelle Server verursachen, die das WebSocket-Profil verwenden. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine fehlerbereinigte Version gemäss F5-Advisory.

In F5 BIG-IP 12.1.0 bis 12.1.2 können die von iControl durchgesetzten Berechtigungen den tatsächlich zugewiesenen Rechten eines Benutzers hinterherhinken, wenn die role_map zwischen Berechtigungsänderung und nächster Anfrage nicht neu geladen wird. Es handelt sich um eine Race Condition, die im Normalbetrieb selten auftritt und typischerweise auf wenige Sekunden nach der Berechtigungsänderung beschraenkt ist. CVSS-Basiswert: 7.5 (Hoch).

In F5 BIG-IP, Enterprise Manager, BIG-IQ und iWorkflow kann ein Angreifer einen Denial-of-Service-Angriff gegen die sshd-Komponente ausführen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: betroffene Systeme auf eine vom Hersteller als behoben ausgewiesene Version aktualisieren.

F5 SSL Intercept iApp 1.5.0-1.5.7 und SSL Orchestrator 2.0 sind für eine Server-Side Request Forgery (SSRF) anfällig, wenn sie mit der Funktion Dynamic Domain Bypass (DDB) zusammen mit der Option SNAT Auto Map für ausgehenden Verkehr eingesetzt werden. CVSS-Basiswert: 7.4 (Hoch).

Der Traffic Management Microkernel (TMM) in F5 BIG-IP verarbeitet die Optionen für die minimale Pfad-MTU bei IPv6 nicht korrekt. Entfernte Angreifer können dadurch über nicht spezifizierte Vektoren einen Denial of Service auslösen. CVSS-Basiswert: 7.5 (Hoch).

In mehreren F5-BIG-IP-Produkten erlaubt der iRule-Befehl RESOLV::lookup entfernten DNS-Servern, über eine manipulierte PTR-Antwort einen Denial of Service auszulösen. Dies äussert sich in hoher CPU-Auslastung oder einem Absturz des Traffic Management Microkernel. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: betroffene Systeme auf eine vom Hersteller als behoben ausgewiesene Version aktualisieren.

Virtuelle Server in F5-BIG-IP-Systemen, die mit einem TCP-Profil konfiguriert sind, erlauben entfernten Angreifern einen Denial of Service durch Neustart des Traffic Management Microkernel (TMM) über gezielt gestaltete Netzwerkpakete. Betroffen sind unter anderem 11.2.1 HF11 bis HF15, 11.4.1 HF4 bis HF10, 11.5.3-11.5.4, 11.6.0 HF5 bis HF7 und 12.0.0. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf eine von F5 korrigierte Version aktualisieren.

Die Konfigurationsschnittstelle in F5 BIG-IP (u. a. LTM, APM, ASM, GTM) erlaubt authentifizierten Nutzern mit bestimmten Berechtigungen eine Rechteausweitung, indem sie einen Access-Policy-Manager-Anpassungsbereich nutzen, der Datei-Uploads zulässt. Betroffen sind diverse 11.x-Versionen vor den jeweiligen Fixes. CVSS-Basiswert: 7.5 (Hoch).

Die Standardkonfiguration des IPsec-IKE-Peer-Listeners in mehreren F5-BIG-IP-Produkten aktiviert fälschlicherweise das anonyme IPsec-IKE-Peer-Konfigurationsobjekt. Dadurch können entfernte Angreifer eine IKE-Phase-1-Aushandlung aufbauen und möglicherweise Brute-Force-Angriffe gegen die Phase-2-Aushandlung durchführen. CVSS-Basiswert: 7.5 (Hoch).

In F5 BIG-IP vor 12.0.0 HF3 können entfernte, authentifizierte Benutzer die Kontokonfiguration von Benutzern mit der Rolle Resource Administration verändern und darüber ihre Rechte ausweiten. Ausgenutzt wird dies über ein praepariertes externes EAV-Monitor-Skript (Extended Application Verification). CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf eine von F5 korrigierte Version (ab 12.0.0 HF3) aktualisieren.

Bei aktivierten SSL-Profilen erlauben virtuelle Server in F5 BIG-IP 11.5.4 entfernten Angreifern einen Denial of Service durch Ressourcenverbrauch und einen Neustart der Traffic Management Microkernel (TMM) über einen SSL-Alert während des Handshakes. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine fehlerbereinigte Version gemäss F5-Advisory.

Mehrere F5 BIG-IP- und BIG-IQ-Produkte regenerieren beim Ausrollen von Cloud-Images in AWS, Azure oder Verizon-Cloud-Umgebungen Zertifikate und Schlüssel nicht ordnungsgemäss. Dadurch können Angreifer über eine Zielinstanz-Konfiguration sensible Informationen erlangen oder einen Denial of Service auslösen. CVSS-Basiswert: 7.4 (Hoch).