F5 Seite 9

Das Konfigurationswerkzeug in F5-BIG-IP-Systemen mehrerer 11.x-Versionen und 12.0.0 vor HF1 erlaubt entfernten Administratoren, die Zugriffsprotokolle des Access Policy Manager (APM) über nicht näher beschriebene Vektoren zu lesen. CVSS-Basiswert: 4.9 (Mittel). Empfohlene Massnahme: Aktualisierung auf eine fehlerbereinigte Version gemäss F5-Advisory.

Der iControl-REST-Dienst in zahlreichen F5-BIG-IP- und BIG-IQ-Produkten erlaubt entfernten, authentifizierten Administratoren, sensible Informationen über nicht naeher bestimmte Vektoren zu erlangen. Betroffen sind unter anderem BIG-IP LTM, AFM, APM, ASM in 11.5.x vor 11.5.4, 11.6.x vor 11.6.1 und 12.x vor 12.0.0 HF3. CVSS-Basiswert: 4.9 (Mittel).

In F5 BIG-IP APM der Versionen 11.2.1, 11.4.x, 11.5.x und 11.6.x vor 11.6.0 HF6 sowie Edge Gateway 11.2.1 besteht bei Nutzung von Multi-Domain-Single-Sign-On (SSO) eine Open-Redirect-Schwachstelle. Entfernte Angreifer können Benutzer über eine base64-kodierte URL im Parameter SSO_ORIG_URI auf beliebige Websites umleiten und Phishing-Angriffe durchführen. CVSS-Basiswert: 5.3 (Mittel). Empfohlene Massnahme: betroffene Software gemäss F5-Advisory aktualisieren.

In zahlreichen F5-BIG-IP- und BIG-IQ-Produkten können entfernte Angreifer bei aktivierten Software-SYN-Cookies auf virtuellen Servern über ein ungültiges TCP-Segment einen Denial of Service auslösen (Hängen der High-Speed Bridge). CVSS-Basiswert: 5.9 (Mittel).

Die Single-Sign-On-Funktion (SSO) in F5 BIG-IP APM 11.x vor 11.6.0 HF6 und BIG-IP Edge Gateway 11.0.0 bis 11.3.0 kann entfernten Angreifern erlauben, sensible SessionId-Informationen zu erlangen, indem sie den Location-HTTP-Header in einer Weiterleitung ausnutzen. CVSS-Basiswert: 5.9 (Mittel). Empfohlene Massnahme: betroffene Systeme auf eine vom Hersteller als behoben ausgewiesene Version aktualisieren.

In der Konfigurationsoberfläche mehrerer F5-BIG-IP-Produkte (unter anderem LTM, Analytics, APM, ASM, GTM, Link Controller und PSM) besteht durch eine unvollständige Sperrliste eine Schwachstelle, über die entfernte authentifizierte Benutzer Dateien via uploadImage.php hochladen können. CVSS-Basiswert: 4.3 (Mittel).

Der vCMP-Host in mehreren F5-BIG-IP-Produkten (unter anderem Analytics, APM, ASM, GTM, Link Controller und LTM) erlaubt entfernten Angreifern über böswilligen Datenverkehr das Auslösen eines Denial of Service. CVSS-Basiswert: 6.1 (Mittel).

Der FastL4-virtuelle Server in F5 BIG-IP (diverse 11.2.1–11.6.0-Versionen mehrerer Module) erlaubt entfernten Angreifern, über ein fragmentiertes Paket einen Denial of Service (Neustart des Traffic Management Microkernel) auszulösen. CVSS-Basiswert: 5.0 (Mittel).

In der Konfigurationsschnittstelle von F5 BIG-IP vor 12.0.0 und im Enterprise Manager 3.0.0–3.1.1 besteht eine Directory-Traversal-Schwachstelle, über die authentifizierte Nutzer aus der Ferne auf beliebige Dateien im Web-Root zugreifen können. CVSS-Basiswert: 4.0 (Mittel).

Die REST-API in F5 BIG-IQ Cloud, Device und Security 4.4.0 und 4.5.0 vor HF2 sowie ADC 4.5.0 vor HF2 erlaubt entfernten Angreifern, ein Authentifizierungs-Token für beliebige Benutzer zu erlangen, wenn die LDAP-Fernauthentifizierung konfiguriert ist und der LDAP-Server anonyme BIND-Operationen zulässt. Der Angreifer muss dazu einen LDAP-Benutzernamen erraten. CVSS-Basiswert: 4.3 (Mittel). Empfohlene Massnahme: betroffene Software gemäss F5-Advisory aktualisieren.

Die automatische Signatur-Update-Funktion in den Phone-Home- und Call-Home-Funktionen mehrerer F5-BIG-IP-Module (u. a. LTM, ASM, PEM in 10.0.0 bis 11.6.0) validiert Server-SSL-Zertifikate nicht korrekt. Entfernte Angreifer können dadurch über ein praepariertes Zertifikat Man-in-the-Middle-Angriffe durchführen. CVSS-Basiswert: 4.3 (Mittel).

In F5 BIG-IP Application Security Manager (ASM) vor Version 11.6 besteht eine Cross-Site-Scripting-Schwachstelle (XSS), über die entfernte Angreifer per Response-Body-Feld beim Anlegen eines neuen Benutzerkontos beliebiges Webskript oder HTML einschleusen können. CVSS-Basiswert: 4.3 (Mittel). Empfohlene Massnahme: betroffene Systeme auf eine vom Hersteller als behoben ausgewiesene Version aktualisieren.

Die SSL-Profil-Komponente in mehreren F5-BIG-IP- und BIG-IQ-Produkten prüft bei Verwendung von TLS 1.x vor TLS 1.2 die CBC-Padding-Bytes beim Verbindungsabbau nicht korrekt, was Man-in-the-Middle-Angreifern über einen Padding-Oracle-Angriff das Auslesen von Klartextdaten erleichtert; es handelt sich um eine Variante von CVE-2014-3566 (POODLE). CVSS-Basiswert: 4.3 (Mittel). Empfohlene Massnahme: Aktualisierung auf eine fehlerbereinigte Version gemäss F5-Advisory.

In der Baumansicht (pl_tree.php) des Application Security Manager (ASM) von F5 BIG-IP besteht eine Cross-Site-Scripting-Schwachstelle, über die entfernte Angreifer beim automatischen Erzeugen einer Richtlinie über eine präparierte URL beliebiges Web-Skript oder HTML einschleusen können. CVSS-Basiswert: 4.3 (Mittel).

In F5 BIG-IP vor Version 10.2.2 bestehen mehrere Directory-Traversal-Schwachstellen, über die lokale Nutzer mit der Rolle Resource Administrator oder Administrator per Pfadangabe im name-Parameter beliebige Dateien auflisten und löschen können. CVSS-Basiswert: 6.2 (Mittel). Empfohlene Massnahme: betroffene Systeme auf eine vom Hersteller als behoben ausgewiesene Version aktualisieren.

In der Konfigurationsoberfläche mehrerer F5-BIG-IP-Produkte (unter anderem LTM, ASM, GTM, Link Controller, AAM, APM und PEM) sowie im Enterprise Manager bestehen mehrere XML-External-Entity-Schwachstellen (XXE). Entfernte authentifizierte Benutzer können darüber beliebige Dateien lesen und über eine gezielt präparierte Anfrage einen Denial of Service auslösen. CVSS-Basiswert: 5.5 (Mittel).

In der Konfigurationsoberfläche zahlreicher F5 BIG-IP-Module (Datei tmui/dashboard/echo.jsp) besteht eine Cross-Site-Scripting-Schwachstelle (XSS). Entfernte Angreifer können darüber beliebiges Skript oder HTML über nicht spezifizierte Vektoren einschleusen. CVSS-Basiswert: 4.3 (Mittel).

Im Webdienst des F5 ARX Data Manager besteht eine SQL-Injection-Schwachstelle, über die entfernte, authentifizierte Benutzer beliebige SQL-Befehle ausführen können. CVSS-Basiswert: 6.5 (Mittel).

In list.jsp der Konfigurationsschnittstelle mehrerer F5 BIG-IP-Module (11.2.1–11.5.1 u. a.) sowie im Enterprise Manager 3.0.0–3.1.1 besteht eine Cross-Site-Scripting-Schwachstelle (XSS), über die entfernte Angreifer per nicht näher bezeichneter Parameter beliebiges Web-Skript oder HTML einschleusen können. CVSS-Basiswert: 4.3 (Mittel).

Die Edge-Client-Komponenten in F5 BIG-IP APM (10.x bis 14.x), BIG-IP Edge Gateway (10.x und 11.x) und FirePass 7.0.0 erlauben Angreifern, über nicht näher spezifizierte Vektoren vertrauliche Informationen aus dem Prozessspeicher auszulesen. CVSS-Basiswert: 4.4 (Mittel).

In der Datei sam/admin/vpe2/public/php/server.php von F5 BIG-IP 10.0.0 bis 10.2.4 und 11.0.0 bis 11.2.1 besteht eine XML-External-Entity-Schwachstelle (XXE). Entfernte authentifizierte Benutzer können über eine gezielt präparierte XML-Datei beliebige Dateien lesen. CVSS-Basiswert: 4.0 (Mittel).

Die Logon-Seite der Access Policy (logon.inc) in F5 BIG-IP APM der Versionen 11.1.0 bis 11.2.1 erlaubt entfernten Angreifern Clickjacking-Angriffe über nicht näher beschriebene Vektoren. CVSS-Basiswert: 4.3 (Mittel). Empfohlene Massnahme: betroffene Software gemäss F5-Advisory aktualisieren.

In der Abmeldeseite (logout.inc) der Zugriffsrichtlinien von F5 BIG-IP APM 10.1.0 bis 10.2.4 und 11.1.0 bis 11.3.0 besteht eine Cross-Site-Scripting-Schwachstelle (XSS). Entfernte Angreifer können über das Cookie LastMRH_Session beliebiges Web-Skript oder HTML einschleusen. CVSS-Basiswert: 4.3 (Mittel).

In der Traffic-Overview-Seite der F5-ASM-Appliance 10.0.0 bis 11.2.0 HF2 besteht eine Cross-Site-Scripting-Schwachstelle (XSS), über die entfernte Angreifer per manipulierter Anfragen, die später auf einer Übersichtsseite dargestellt werden, beliebiges Webskript oder HTML einschleusen können. CVSS-Basiswert: 4.3 (Mittel). Empfohlene Massnahme: betroffene Systeme auf eine vom Hersteller als behoben ausgewiesene Version aktualisieren.

In der Web-Management-Konsole von F5 BIG-IP 9.4.3 besteht eine Cross-Site-Request-Forgery-Schwachstelle (CSRF), über die entfernte Angreifer die Authentifizierung von Administratoren missbrauchen können, um Anfragen zum Anlegen neuer Administratoren und zum Ausführen von Shell-Befehlen abzusetzen. CVSS-Basiswert: 6.8 (Mittel).

In der Login-Oberfläche (my.logon.php3) von F5 FirePass SSL VPN besteht eine Cross-Site-Scripting-Schwachstelle, über die entfernte Angreifer mittels eines base64-kodierten xcho-Parameters beliebiges Web-Skript oder HTML einschleusen können. CVSS-Basiswert: 4.3 (Mittel).

In F5 FirePass SSL VPN 6.0.2 Hotfix 3 und möglicherweise aelteren Versionen bestehen mehrere Cross-Site-Scripting-Schwachstellen. Entfernte Angreifer können beliebigen Web-Skript oder HTML über Anführungszeichen im Parameter css_exceptions (webyfiers.php) sowie im Parameter sql_matchscope (index.php) einschleusen. CVSS-Basiswert: 4.3 (Mittel).

In installControl.php3 in F5 FirePass 4100 SSL VPN 5.4.2-5.5.2 und 6.0-6.2 besteht eine Cross-Site-Scripting-Schwachstelle (XSS), über die entfernte Angreifer beliebiges Web-Skript oder HTML über den Query-String einschleusen können. Laut Quelle stammt diese Information ausschliesslich aus Drittanbieter-Angaben. CVSS-Basiswert: 4.3 (Mittel).

In der Web-Verwaltungsoberfläche von F5 BIG-IP 9.4.3 besteht eine Cross-Site-Scripting-Schwachstelle (XSS). Angreifer können beliebiges Skript oder HTML über den Namen eines Node-Objekts oder über die SNMP-Konfigurationsfelder sysContact bzw. sysLocation einschleusen (Audit Log XSS). Laut Quelle könnten diese Probleme aus CSRF-Schwachstellen resultieren. CVSS-Basiswert: 4.3 (Mittel).

In dms/policy/rep_request.php in F5 BIG-IP Application Security Manager (ASM) 9.4.3 besteht eine Cross-Site-Scripting-Schwachstelle (XSS), über die entfernte Angreifer per report_type-Parameter beliebiges Web-Skript oder HTML einschleusen können. CVSS-Basiswert: 4.3 (Mittel).

In der Suchfunktion der Web-Management-Oberfläche von F5 BIG-IP 9.4.3 bestehen mehrere Cross-Site-Scripting-Schwachstellen (XSS). Entfernte Angreifer können über den Parameter SearchString beliebiges Web-Skript oder HTML einschleusen. CVSS-Basiswert: 4.3 (Mittel).

In download_plugin.php3 des F5 Firepass 4100 SSL VPN der Versionen 5.4 bis 5.5.2 und 6.0 bis 6.0.1 besteht eine Cross-Site-Scripting-Schwachstelle (XSS). Entfernte Angreifer können über den Parameter backurl beliebiges Web-Skript oder HTML einschleusen. CVSS-Basiswert: 4.3 (Mittel). Empfohlene Massnahme: betroffene Software gemäss F5-Advisory aktualisieren.

In F5 FirePass SSL VPN bestehen mehrere Cross-Site-Scripting-Schwachstellen (XSS), über die entfernte Angreifer beliebiges Web-Skript oder HTML einschleusen können. Betroffen sind unter anderem Parameter der Skripte my.logon.php3, vdesk/admincon/index.php, webyfiers.php und my.activation.php. CVSS-Basiswert: 6.8 (Mittel). Empfohlene Massnahme: betroffene Software gemäss F5-Advisory aktualisieren.

F5 FirePass 5.4 bis 5.5.1 setzt Host-Zugriffsbeschraenkungen nicht korrekt durch, wenn ein Client eine Ganzzahl-Darstellung (dword) einer IP-Adresse (dotless IP address) verwendet. Entfernte, authentifizierte Benutzer können dadurch auf die FirePass-Administratorkonsole und bestimmte weitere Netzwerkressourcen zugreifen. CVSS-Basiswert: 6.5 (Mittel).

Die Komponente my.activation.php3 in F5 FirePass 5.4 bis 5.5.1 und 6.0 zeigt bei fehlgeschlagenen Anmeldeversuchen mit gültigem Benutzernamen andere Fehlermeldungen an als bei ungültigem Benutzernamen. Entfernte Angreifer können darüber die Gültigkeit eines LDAP-Kontos bestätigen. CVSS-Basiswert: 5.0 (Mittel).

In my.acctab.php3 des F5 Networks FirePass 1000 SSL VPN 5.5 und möglicherweise früheren Versionen besteht eine Cross-Site-Scripting-Schwachstelle (XSS), über die entfernte Angreifer per sid-Parameter beliebiges Webskript oder HTML einschleusen können. CVSS-Basiswert: 5.1 (Mittel).

In my.support.php3 des F5 Firepass 4100 SSL VPN 5.4.2 besteht eine Cross-Site-Scripting-Schwachstelle (XSS), über die entfernte Angreifer per s-Parameter beliebiges Webskript oder HTML einschleusen können. CVSS-Basiswert: 4.3 (Mittel).

bigconf.conf in F5 BIG/ip 2.1.2 und früher erlaubt entfernten Angreifern das Auslesen beliebiger Dateien, indem sie die Zieldatei im Parameter file angeben. CVSS-Basiswert: 5.0 (Mittel). Empfohlene Massnahme: betroffene Software gemäss F5-Advisory aktualisieren.

Auf mehreren Versionen von F5 BIG-IP (behoben in 17.0.0) besteht in einer nicht näher genannten Seite des BIG-IP-Konfigurationswerkzeugs eine Cross-Site-Request-Forgery-Schwachstelle (CSRF), über die ein Angreifer einen begrenzten Satz von Befehlen (ping, traceroute und WOM-Diagnose) ausführen kann. Versionen, die das Ende des technischen Supports erreicht haben, wurden nicht bewertet. CVSS-Basiswert: 3.1 (Niedrig). Empfohlene Massnahme: Aktualisierung auf Version 17.0.0 oder neuer.

In F5 BIG-IP DNS 13.1.0-13.1.0.7 und 12.1.3-12.1.3.5 nehmen DNS Express bzw. DNS Zones NOTIFY-Nachrichten auf der Management-Schnittstelle auch von Quell-IP-Adressen an, die nicht in der Konfiguration Allow NOTIFY From aufgeführt sind, sofern die db-Variable dnsexpress.notifyport von ihrem Standardwert 0 abweicht. CVSS-Basiswert: 3.7 (Niedrig).

In F5 FirePass 4100 SSL VPN bestehen bei aktivierten Pre-Logon-Sequenzen mehrere Cross-Site-Scripting-Schwachstellen, über die entfernte Angreifer per Query-String an my.activation.php3 und my.logon.php3 beliebiges Web-Skript oder HTML einschleusen können. CVSS-Basiswert: 2.6 (Niedrig).

In F5 Networks FirePass 4100 5.x bestehen mehrere Cross-Site-Scripting-Schwachstellen. Entfernte Angreifer können beliebigen Web-Skript oder HTML über beschreibbare Formular- und versteckte Felder einschleusen, einschliesslich der Authentifizierungs-Frontends. CVSS-Basiswert: 2.6 (Niedrig).