【漏洞风险通告】F5 BIG-IP远程命令执行漏洞（CVE-2022-1388）

F5 BIG-IP是美国F5公司的一款集成了网络流量管理、应用程序安全管理、负载均衡等功能的应用交付平台。BIG-IP本地流量管理器(LTM)和BIG-IP DNS能够处理应用程序流量并保护基础设施。

近日，迪普安全研究院团队监测到F5官方发布的安全通告中，修复了一个远程命令执行漏洞（CVE-2022-1388）。根据F5的安全研究显示，这个漏洞存在于iControl REST组件中，并允许攻击者发送未公开的请求以绕过BIG-IP中的iControl REST认证，攻击者可以利用该漏洞获取受影响系统的控制权。‎该漏洞影响范围较大，迪普科技提醒广大用户，尽快排查并修复漏洞，以降低安全风险。

高危

该漏洞存在于BIG-IP的iControl REST组件中，允许未经过身份验证的攻击者通过发送特意构造的恶意请求绕过iControl REST中的身份认证。利用该漏洞，攻击者可以通过管理端口、自身IP地址对BIG-IP系统进行网络访问，以执行任意系统命令、创建或删除文件或禁用服务，从而危害系统安全。

BIG-IP 16.1.0-16.1.2

BIG-IP 15.1.0-15.1.5

BIG-IP 14.1.0-14.1.4

BIG-IP 13.1.0-13.1.4

BIG-IP 12.1.0-12.1.6

BIG-IP 11.6.1-11.6.5

目前F5官方已给出解决方案，可升级到安全版本或参考官网进行修复，官网链接如下：

https://support.f5.com/csp/article/K23605346

1、通过自有IP地址阻止iControl REST访问。具体操作参见官网指导文档。

2、通过管理界面阻止iControl REST访问。具体操作参见官网指导文档。

3、修改BIG-IP httpd配置。具体操作参见官网指导文档。

官网指导文档链接：https://support.f5.com/csp/article/K23605346。

迪普科技安全服务团队可协助客户进行现网F5 BIG-IP的信息资产的梳理，并帮助客户进行版本升级指导以及安全配置等各种安全加固工作。如服务器疑似被入侵，迪普科技可安排安全服务专家针对网络安全入侵事件，为客户提供快速应急响应支撑服务以及专业的安全建设建议，并指导客户完善安全防护措施。

联系我们

迪普科技安全服务团队拥有中国信息安全测评中心、中国网络安全审查技术与认证中心、中国通信企业协会、公安部一所等机构认证资质。作为中国国家信息安全漏洞库一级技术支撑单位，迪普科技安全服务团队依托业内一流的安全服务专家团队和丰富的行业经验积累，以高质量、高标准的理念，为各行业客户提供全面、深度涵盖信息系统规划立项、设计开发、建设实施、运行维护和系统废弃全生命周期的安全服务，帮助客户建立并持续完善网络安全技术和安全管理体系，提升客户信息系统的整体安全防护水平。