一、基本情况

F5 BIG-IP是美国F5公司一款集成网络流量管理、应用程序安全管理、负载均衡等功能的应用交付平台（ADN）。由于F5 BIG-IP iControl REST组件的身份认证功能存在绕过缺陷，导致授权访问机制失效。

二、漏洞等级

高危

三、漏洞描述

该漏洞使得网络攻击者能够通过向BIG-IP服务器发送恶意构造请求绕过身份认证，从而执行任意系统命令、执行文件操作、禁用BIG-IP上的服务等。

四、影响范围

漏洞影响的产品版本包括：

BIG-IP 16.x: 16.1.0-16.1.2

BIG-IP 15.x: 15.1.0-15.1.5

BIG-IP 14.x: 14.1.0-14.1.4

BIG-IP 13.x: 13.1.0-13.1.4

BIG-IP 12.x: 12.1.0-12.1.6

BIG-IP 11.x: 11.6.1-11.6.5

五、修复措施

1、正式防护方案：

目前，F5公司已发布新版本修复该漏洞，请用户立即升级至最新版本：

https://support.f5.com/csp/article/K55879220

2、临时解决方案：

1、设置白名单限制对iControl REST组件访问；

2、通过管理界面将访问限制为仅受信任的用户和设备；

3、参考官方建议修改 BIG-IP httpd配置限制对iControl REST组件访问。

六、参考链接

国家信息安全漏洞共享平台 (cnvd.org.cn)