摘要: F5已提醒客户注意影响BIG-IP的关键安全漏洞，该漏洞可能导致未经身份验证的远程代码执行。 该问题根源于配置实用程序组件，已分配CVE标识符CVE-2023-46747，并且CVSS得分为9.8（最大值为10）。 F5在周四发布的一份报告中说：“这个漏洞可能...
F5已提醒客户注意影响BIG-IP的关键安全漏洞，该漏洞可能导致未经身份验证的远程代码执行。
该问题根源于配置实用程序组件，已分配CVE标识符CVE-2023-46747，并且CVSS得分为9.8（最大值为10）。
F5在周四发布的一份报告中说：“这个漏洞可能允许未经身份验证的攻击者通过管理端口和/或自IP地址对BIG-IP系统进行网络访问，以执行任意系统命令。”“没有数据平面暴露;这只是控制平面问题。”
已发现以下版本的BIG-IP易受攻击-
- 17.1.0（已在17.1.0.3 + Hotfix-BIGIP-17.1.0.3.0.75.4-ENG中修复）
- 16.1.0 – 16.1.4（在16.1.4.1 + Hotfix-BIGIP-16.1.4.1.0.50.5-ENG中修复）
- 15.1.0 – 15.1.10（在15.1.10.2 + Hotfix-BIGIP-15.1.10.2.0.44.2-ENG中修复）
- 14.1.0 – 14.1.5（在14.1.5.6 + Hotfix-BIGIP-14.1.5.6.0.10.6-ENG中修复）
- 13.1.0 – 13.1.5（在13.1.5.1 + Hotfix-BIGIP-13.1.5.1.0.20.2-ENG中修复）
作为缓解措施，F5还为BIG-IP 14.1.0及更高版本的用户提供了一个shell脚本。该公司警告说：“此脚本不得用于14.1.0之前的任何BIG-IP版本，否则将阻止配置实用程序启动。”
其他可供用户使用的临时变通方法如下-
- 通过自身IP地址阻止配置实用程序访问
- 通过管理界面访问数据块配置实用程序
Praetorian的Michael Weber和托马斯Hendrickson在2023年10月4日发现并报告了该漏洞。
这家网络安全公司在自己的一份技术报告中将CVE-2023-46747描述为一个身份验证绕过问题，该问题可能会导致F5系统完全受损，因为它在目标系统上以root身份执行任意命令，并指出它“与CVE-2022-26377密切相关”。”
Praetorian还建议用户限制从互联网访问交通管理用户界面（TMUI）。值得注意的是，CVE-2023-46747是继CVE-2020-5902和CVE-2022-1388之后，TMUI中发现的第三个未经身份验证的远程代码执行漏洞。
研究人员说：“当两个不同的服务相互分担身份验证责任时，一个看似影响不大的请求走私漏洞可能会成为一个严重的问题。”“将请求发送到假定”前端“处理身份验证的”后端“服务可能会导致一些有趣的行为。”
稿源：TheHackerNews.com，翻译：游侠安全网
