服务公告
F5 BIG-IP/BIG-IQ多个严重漏洞预警
2021-03-11
一、概要
近日华为云监测到美国F5 公司官方发布安全公告，披露F5 BIG-IP/BIG-IQ存在多处严重漏洞，攻击者利用漏洞可实现远程代码执行。
CVE-2021-22986, CVSS 9.8: BIG-IP/BIG-IQ iControl REST未经身份验证的远程命令执行漏洞;
CVE-2021-22987, CVSS 9.9: BIG-IP设备模式TMUI身份验证的远程命令执行漏洞;
CVE-2021-22988, CVSS 8.8: BIG-IP TMUI身份验证的远程命令执行漏洞;
CVE-2021-22989, CVSS 8.0: BIG-IP设备模式高级WAF / ASM TMUI身份验证的远程命令执行漏洞;
CVE-2021-22990, CVSS 6.6: BIG-IP高级WAF / ASM TMUI身份验证的远程命令执行漏洞;
CVE-2021-22991, CVSS 9.0: BIG-IP TMM缓冲区溢出漏洞;
CVE-2021-22992, CVSS 9.0: BIG-IP高级WAF / ASM缓冲区溢出漏洞。
华为云提醒使用F5 BIG-IP/BIG-IQ的用户及时安排自检并做好安全加固。
详情请参考链接：
https://support.f5.com/csp/article/K02566623
二、威胁级别
威胁级别：【严重】
（说明：威胁级别共四级：一般、重要、严重、紧急）
三、漏洞影响范围
漏洞 | 受影响版本 | 安全版本 |
CVE-2021-22986 | F5 BIG-IP 16.0.0-16.0.1 F5 BIG-IP 15.1.0-15.1.2 F5 BIG-IP 14.1.0-14.1.3.1 F5 BIG-IP 13.1.0-13.1.3.5 F5 BIG-IP 12.1.0-12.1.5.2 F5 BIG-IQ 7.1.0-7.1.0.2 F5 BIG-IQ 7.0.0-7.0.0.1 F5 BIG-IQ 6.0.0-6.1.0 | F5 BIG-IP 16.0.1.1 F5 BIG-IP 15.1.2.1 F5 BIG-IP 14.1.4 F5 BIG-IP 13.1.3.6 F5 BIG-IP 12.1.5.3 F5 BIG-IQ 8.0.0 F5 BIG-IQ 7.1.0.3 F5 BIG-IQ 7.0.0.2 |
CVE-2021-22987 CVE-2021-22988 CVE-2021-22989 CVE-2021-22990 CVE-2021-22992 | F5 BIG-IP 16.0.0-16.0.1 F5 BIG-IP 15.1.0-15.1.2 F5 BIG-IP 14.1.0-14.1.3.1 F5 BIG-IP 13.1.0-13.1.3.5 F5 BIG-IP 12.1.0-12.1.5.2 F5 BIG-IP 11.6.1-11.6.5.2 | F5 BIG-IP 16.0.1.1 F5 BIG-IP 15.1.2.1 F5 BIG-IP 14.1.4 F5 BIG-IP 13.1.3.6 F5 BIG-IP 12.1.5.3 F5 BIG-IP 11.6.5.3 |
CVE-2021-22991 | F5 BIG-IP 16.0.0-16.0.1 F5 BIG-IP 15.1.0-15.1.2 F5 BIG-IP 14.1.0-14.1.3.1 F5 BIG-IP 13.1.0-13.1.3.5 F5 BIG-IP 12.1.0-12.1.5.2 | F5 BIG-IP 16.0.1.1 F5 BIG-IP 15.1.2.1 F5 BIG-IP 14.1.4 F5 BIG-IP 13.1.3.6 F5 BIG-IP 12.1.5.3 |
四、漏洞处置
目前，官方已在相应的分支中提供了安全版本，请受影响的用户升级到安全版本。
若无法及时升级，可参考官方公告中针对各漏洞提供的规避措施进行风险规避：
CVE-2021-22986,CVE-2021-22987,CVE-2021-22988,CVE-2021-22989,CVE-2021-22990,CVE-2021-22991,CVE-2021-22992
注：修复漏洞前请将资料备份，并进行充分测试。
