PT-2022-5573 · F5 · Big-Ip
CVE-2022-41800
·
Publicado
2022-11-16
·
Atualizado
2022-12-12
CVSS v3.1
8.7
Alta
| Vetor | AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N |
Nome do software vulnerável e versões afetadas
Versões do BIG-IP anteriores à versão corrigida
Descrição
O problema está relacionado a um endpoint REST do iControl não divulgado no BIG-IP, permitindo que um usuário autenticado com a função de Administrador contorne as restrições do modo Appliance ao operar nesse modo. Uma exploração bem-sucedida pode permitir que o invasor ultrapasse uma barreira de segurança. A vulnerabilidade também está associada a uma verificação insuficiente de argumentos na interface REST do iControl, o que pode ser explorado por um invasor remoto para contornar as restrições de segurança existentes.
Recomendações
Para o BIG-IP, considere desativar o acesso ao endpoint REST do iControl não divulgado até que um patch esteja disponível.
Como solução alternativa temporária, restrinja o uso da função de Administrador para minimizar o risco de exploração.
Evite usar a interface REST do iControl vulnerável no modo Appliance até que o problema seja resolvido.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Exploit
DoS
Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Big-Ip