F5 BIG-IP IControl REST和TMSH 命令执行漏洞（CVE-2025-31644）

↑点击关注，获取更多漏洞预警，技术分享

0x01 组件介绍

  F5 BIG-IP是美国F5公司的一款集成了网络流量管理、应用程序安全管理、负载均衡等功能的应用交付平台。

app="f5-BIGIP"

0x02 漏洞描述在设备模式下，一个未公开的 iControl REST 和 BIG-IP TMOS Shell (tmsh) 命令中存在命令注入漏洞，可能允许具有管理员角色权限的认证攻击者执行任意系统命令。成功的利用可以允许攻击者跨越安全边界。

BIG-IP 17.1.0 - 17.1.2

BIG-IP 16.1.0 - 16.1.5

BIG-IP 15.1.0 - 15.1.10

0x04 漏洞验证

目前POC/EXP已经公开（后台留言：CVE-2025-31644，获取漏洞pdf文档）

概念性验证：

发送数据包，出现下面的即可证明漏洞存在

0x05 漏洞影响

由于该漏洞影响范围较广，危害较大。通过漏洞相关文档揭露，我们可以知道该漏洞的利用过程比较困难，需要先获取管理员权限，但能造成的危害是高危的，可执行命令，控制系统。企业应该尽快排查是否有使用该组件，并尽快做出对应措施

0x06 修复建议

针对此漏洞，官方已经发布了漏洞修复版本，请立即更新到安全版本：

BIG-IP >= 17.1.2.2

BIG-IP  >= 16.1.6

BIG-IP  >= 15.1.10.7

参考链接：

https://my.f5.com/manage/s/article/K000148591

0X07 参考链接

https://my.f5.com/manage/s/article/K000148591

0x08 免责声明> 本文所涉及的任何技术、信息或工具，仅供学习和参考之用。> 请勿利用本文提供的信息从事任何违法活动或不当行为。任何因使用本文所提供的信息或工具而导致的损失、后果或不良影响，均由使用者个人承担责任，与本文作者无关。> 作者不对任何因使用本文信息或工具而产生的损失或后果承担任何责任。使用本文所提供的信息或工具即视为同意本免责声明，并承诺遵守相关法律法规和道德规范。

原文始发于微信公众号（安全探索者）：【漏洞复现】F5 BIG-IP IControl REST和TMSH 命令执行漏洞（CVE-2025-31644）