F5 Seite 6

Der Traffic Management Microkernel (TMM) in mehreren F5 BIG-IP-Modulen verarbeitet TCP-Optionen nicht korrekt. Entfernte Angreifer können dadurch über nicht spezifizierte Vektoren einen Denial of Service auslösen; der Fehler steht im Zusammenhang mit der Datenbankvariable tm.minpathmtu. CVSS-Basiswert: 7.5 (Hoch).

Ein Speicherleck im last-hop-Kernelmodul zahlreicher F5-BIG-IP-Produkte (unter anderem LTM, GTM, Link Controller, AAM, AFM, PEM, APM und ASM) kann von entfernten Angreifern über eine grosse Zahl gezielt präparierter UDP-Pakete ausgenutzt werden, um einen Denial of Service durch Speicherverbrauch zu verursachen. CVSS-Basiswert: 7.5 (Hoch).

Ein Speicherleck in der Virtual-Server-Komponente mehrerer F5-BIG-IP- und BIG-IQ-Produkte erlaubt entfernten Angreifern, durch eine grosse Zahl präparierter ICMP-Pakete einen Denial of Service (Speicherverbrauch) auszulösen. CVSS-Basiswert: 7.8 (Hoch).

F5 BIG-IP Analytics der Version 11.x vor 11.4.0 verwendet ein vorhersagbares Session-Cookie. Dadurch können entfernte Angreifer durch Erraten des Cookie-Werts leichter eine nicht näher spezifizierte Wirkung erzielen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: betroffene Software gemäss F5-Advisory aktualisieren.

Die iControl-API in zahlreichen F5 BIG-IP-, Enterprise-Manager- und BIG-IQ-Versionen erlaubt entfernten Administratoren, über Shell-Metazeichen im hostname-Element einer SOAP-Anfrage beliebige Befehle auszuführen. CVSS-Basiswert: 7.1 (Hoch).

In der APM- und AVR-WebGUI mehrerer F5-BIG-IP-Produkte bestehen SQL-Injection-Schwachstellen in saveSettings.php, über die entfernte, authentifizierte Nutzer per defaultQuery-Parameter beliebige SQL-Befehle ausführen können. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: betroffene Systeme auf eine vom Hersteller als behoben ausgewiesene Version aktualisieren.

Der Traffic Management Microkernel (TMM) mehrerer F5-BIG-IP-Module kann eine TCP-Verbindung in den Zustand ESTABLISHED setzen, bevor das ACK-Paket empfangen wurde. Entfernte Angreifer können dadurch einen Denial of Service (SIGFPE bzw. Assertion-Fehler mit TMM-Neustart) über nicht naeher bestimmte Vektoren auslösen. Betroffen sind unter anderem BIG-IP LTM, APM, ASM, GTM und weitere Module in den Versionen 10.0.0 bis 11.4.1. CVSS-Basiswert: 7.8 (Hoch).

F5-BIG-IP-Appliances und Enterprise Manager verwenden über verschiedene Kundeninstallationen hinweg denselben privaten SSH-Schlüssel und schränken den Zugriff darauf nicht ausreichend ein, was entfernten Angreifern SSH-Anmeldungen über die PubkeyAuthentication-Option erleichtert. Betroffen sind BIG-IP 9.x vor 9.4.8-HF5, 10.x vor 10.2.4, 11.0.x vor 11.0.0-HF2 und 11.1.x vor 11.1.0-HF3 sowie mehrere Enterprise-Manager-Versionen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine fehlerbereinigte Version gemäss F5-Advisory.

In der Datei my.activation.php3 von F5 FirePass besteht eine SQL-Injection-Schwachstelle, über die entfernte Angreifer mittels des Parameters state beliebige SQL-Befehle ausführen können. CVSS-Basiswert: 7.5 (Hoch).

Die sudoers-Datei in der Linux-Systemkonfiguration von F5 FirePass verlangt für das Ausführen von Befehlen als root kein Passwort. Dadurch können lokale Benutzer – etwa das Konto, das PHP-Skripte ausführt – über das sudo-Programm ihre Rechte ausweiten. CVSS-Basiswert: 7.2 (Hoch).

Ein Pufferüberlauf im bd-Daemon von F5 BIG-IP Application Security Manager (ASM) und Protocol Security Manager (PSM) erlaubt entfernten Angreifern, einen Denial of Service (Absturz) auszulösen. Die genauen Angriffsvektoren sind nicht spezifiziert; Teile der Angaben stammen laut Quelle von Dritten. CVSS-Basiswert: 7.8 (Hoch).

Der SNMP-Daemon in F5 FirePass 1200 6.0.2 Hotfix 3 erlaubt entfernten Angreifern, durch das Durchlaufen des OID-Zweigs hrSWInstalled in der HOST-RESOURCES-MIB einen Denial of Service (Absturz des Daemons) auszulösen. CVSS-Basiswert: 7.8 (Hoch).

Die Datei my.activation.php3 im F5 FirePass 4100 SSL VPN erlaubt entfernten Angreifern die Ausführung beliebiger Shell-Befehle. Ausgenutzt wird dies über Shell-Metazeichen im Parameter username. CVSS-Basiswert: 7.5 (Hoch).

F5 FirePass 5.4 bis 5.5.2 und 6.0 erlaubt entfernten Angreifern den Zugriff auf eingeschränkte URLs, etwa über ein angehängtes Null-Byte, mehrere führende Schrägstriche, Unicode-Kodierung, URL-kodierte Verzeichnistraversierung oder Grossbuchstaben im Domainnamen. CVSS-Basiswert: 7.5 (Hoch).

In F5 BIG-IP 9.0.2 bis 9.1 besteht eine nicht näher spezifizierte Schwachstelle, über die Angreifer die Authentifizierung von SSL-Transaktionen unterlaufen können. Die genauen Angriffsvektoren sind unbekannt und stehen möglicherweise im Zusammenhang mit NATIVE-Chiffren. CVSS-Basiswert: 7.5 (Hoch).

Für den Linux-Kernel wurde eine Sicherheitslücke (CVE-2019-11477) gemeldet, die mehrere überwachte Produkte betrifft; Synology, CommScope (Ruckus) und Securepoint führen entsprechende Advisories. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 98.7 %.

Für mehrere Produkte wurde eine Sicherheitslücke im Linux-Kernel gemeldet (Synology-SA-19:28); laut den Quellen sind Synology, CommScope (Ruckus) und Securepoint betroffen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 92.9 %.

Für den Linux-Kernel wurde eine Sicherheitslücke (CVE-2019-11479) gemeldet; Synology führt sie im Advisory Synology-SA-19:28 (Linux kernel), weitere Hersteller in eigenen Sicherheitshinweisen. Ausnutzungswahrscheinlichkeit (EPSS): 91.7 %.

Für Synology-Produkte wurde eine Sicherheitslücke gemeldet, die in DSM 5.2-5644 Update 5 behoben wurde. Ausnutzungswahrscheinlichkeit (EPSS): 89.1 %.

Für nginx wurde eine Sicherheitslücke (CVE-2013-2028) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 87.5 %.

Für nginx wurde eine Sicherheitslücke (CVE-2016-0742) gemeldet; betroffen sind mehrere überwachte Produkte, darunter nginx selbst und F5. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 82.0 %.

Für die HTTP/2-Implementierung wurde eine Denial-of-Service-Schwachstelle (CVE-2019-9513) gemeldet; nginx und Synology (Synology-SA-19:33, HTTP/2 DoS Attacks) sowie weitere Hersteller führen entsprechende Sicherheitshinweise. Ausnutzungswahrscheinlichkeit (EPSS): 81.6 %.

Für nginx-Produkte wurde eine Sicherheitslücke (CVE-2009-2629) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 75.1 %.

Für Synology-Produkte wurde eine Sicherheitslücke im Linux-Kernel behoben (Synology-SA-18:41); betroffen sind zudem Securepoint UTM sowie zahlreiche weitere Hersteller. Ausnutzungswahrscheinlichkeit (EPSS): 73.7 %.

Für nginx wurde eine Sicherheitslücke (CVE-2010-2263) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 71.9 %.

Für nginx und weitere Produkte wurde eine Sicherheitslücke (CVE-2013-4547) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 67.7 %.

Für nginx und Synology-Produkte wurde eine Sicherheitslücke gemeldet (Synology-SA-17:27 Nginx). Ausnutzungswahrscheinlichkeit (EPSS): 62.6 %.

Für nginx und Synology-Produkte wurde eine Sicherheitslücke im Zusammenhang mit HTTP/2 DoS-Angriffen gemeldet (Synology-SA-19:33 HTTP/2 DoS Attacks). Ausnutzungswahrscheinlichkeit (EPSS): 59.5 %.

Im Rahmen der Synology-SA-19:33 wurden HTTP/2 Denial-of-Service-Angriffe in nginx und Synology-Produkten gemeldet. CVE-2019-9516 betrifft einen Angriff über 0-Length-Headers im HTTP/2-Protokoll. Ausnutzungswahrscheinlichkeit (EPSS): 56.3 %.

Für nginx-Produkte wurde eine Sicherheitslücke (CVE-2021-23017) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 53.5 %.

Für curl wurde eine Sicherheitslücke (CVE-2019-5436) gemeldet, die zahlreiche überwachte Produkte betrifft; das curl-Projekt (Daniel Stenberg) führt die betroffene Komponente in seinem Security-Advisory. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 49.7 %.

Für nginx-Produkte wurde eine Sicherheitslücke (CVE-2018-16843) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 47.1 %.

Für nginx wurde eine Sicherheitslücke (CVE-2009-4487) gemeldet; ebenfalls betroffen sind Produkte von F5. Ausnutzungswahrscheinlichkeit (EPSS): 29.5 %.

Für Produkte von Axis wurde eine Sicherheitslücke (CVE-2002-20001) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 23.1 %.

Für nginx und F5 wurde eine Sicherheitslücke gemeldet (CVE-2010-2266). Ausnutzungswahrscheinlichkeit (EPSS): 21.5 %.

Für Produkte von Axis Communications liegt ein Sicherheitshinweis des Herstellers vor. Zur genauen Schwachstelle enthalten die Quelldaten keine belastbare technische Beschreibung, weshalb Angriffsweg und Auswirkung hier nicht näher ausgeführt werden. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 17.1 %. Empfohlene Massnahme: den referenzierten Sicherheitshinweis des Herstellers beachten und verfügbare Aktualisierungen einspielen.

Für nginx sowie weitere Distributionen und Produkte (unter anderem Ubuntu, F5 und Debian) wurde eine Sicherheitslücke (CVE-2016-4450) gemeldet. Ein CVSS-Basiswert liegt in den vorliegenden Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 16.4 %.

Für nginx wurde eine Sicherheitslücke (CVE-2009-3898) gemeldet und per Advisory adressiert. Eine nähere technische Beschreibung liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 15.9 %.

Für nginx-Produkte wurde eine Sicherheitslücke (CVE-2018-16844) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 12.4 %.

Für den Webserver nginx wurde eine Sicherheitslücke (CVE-2013-2070) gemeldet, die im Sicherheitshinweis des Projekts geführt wird. Eine detaillierte technische Beschreibung liegt in den Quelldaten nicht vor, ebenso wenig ein CVSS-Basiswert. Ausnutzungswahrscheinlichkeit (EPSS): 11.9 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen.

Für nginx-Produkte wurde eine Sicherheitslücke (CVE-2009-3896) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 10.2 %.

Für CVE-2018-16890 liegt ein Sicherheitshinweis von curl / Daniel Stenberg vor. Laut Zuordnung sind zudem Zabbly / Canonical, Ubuntu (USN), Debian (DSA), NetApp, Siemens Healthineers, Siemens ProductCERT, SimpleHelp Ltd, Axis, Paessler AG, Zoho und F5 betroffen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 5.4 %.

Für CVE-2019-10744 liegt ein Sicherheitshinweis von Axis Communications vor. Die Zuordnung umfasst zudem NetApp, F5 und Oracle (CPU/EBS/PeopleSoft/WebLogic). Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 5.0 %.

Für Produkte von LANCOM Systems wurde eine Sicherheitslücke (CVE-2024-3661) gemeldet. Weitere Hersteller (u. a. Fortinet, Cisco Webex, Cisco, Splunk, Citrix/NetScaler, Apple, F5, WatchGuard und Zscaler) führen die Lücke ebenfalls in ihren Sicherheitshinweisen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 4.1 %.

NGINX Plus und NGINX Open Source weisen eine Schwachstelle im Modul ngx_http_charset_module auf. Sie tritt auf, wenn Inhalte über einen Location-Block ausgeliefert oder weitergeleitet werden, der sowohl source_charset utf-8; als auch eine charset-Direktive konfiguriert hat. CVSS-Basiswert: 4.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: auf eine korrigierte Version aktualisieren.

Wird NGINX Gateway Fabric mit GRPCRoutes konfiguriert, kann ein authentifizierter, entfernter Angreifer mit der Berechtigung, GRPCRoute- Ressourcen zu erstellen oder zu ändern, die Control Plane von NGINX Gateway Fabric beeinträchtigen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Bei der Verarbeitung von Ingress- oder TransportServer-Ressourcen im NGINX Ingress Controller kann ein authentifizierter, entfernter Angreifer mit Berechtigung zum Erstellen oder Ändern solcher Ressourcen eine Beeinträchtigung der Verfügbarkeit auslösen. Laut CVSS-Vektor wirkt sich die Schwachstelle ausschliesslich auf die Verfügbarkeit aus (Denial of Service). CVSS-Basiswert: 6.5 (Mittel).

In F5 BIG-IP Container Ingress Services besteht eine Schwachstelle, die übermässige Berechtigungen zum Lesen von Cluster-Secrets in Kubernetes- bzw. OpenShift-Umgebungen erlauben kann. Software-Versionen, die das Ende des technischen Supports (EoTS) erreicht haben, werden laut Quelle nicht bewertet. CVSS-Basiswert: 4.9 (Mittel).

Im Linux-Kernel registrierte das Tracing-Subsystem für synthetische Events perf-Events ohne passende Registrierungsfunktion und rief die Tracepoint-Funktionen mit einem NULL-Zeiger auf, was eine Warnung auslöste. Der Fix gibt nun -ENODEV zurück. CVSS-Basiswert: 5.5 (Mittel). Empfohlene Massnahme: Aktualisierung auf eine fehlerbereinigte Kernel-Version.

Im Linux-Kernel wurde eine Schwachstelle in btrfs (zoned mode) behoben, bei der während einer Relocation ohne vorhandene Prüfsumme der logische Wert eines ordered_extent auf einen ungültigen Wert gesetzt wurde. In der Folge konnte btrfs_zone_finish_endio auf einen NULL-Pointer zugreifen und eine Assertion oder einen Absturz auslösen. Der Fix überspringt bei Pre-Alloc-Writes das Aufteilen und das erneute Schreiben der logischen Adresse. Der Fehler wird über den Kernel, der in F5-Produkten eingesetzt wird, als betroffen geführt. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor. Empfohlene Massnahme: betroffene Software gemäss F5-Advisory aktualisieren.