United States Computer Emergency Readiness Team (US-CERT)は3月10日(米国時間)、「F5 Security Advisory for RCE Vulnerabilities in BIG-IP, BIG-IQ｜CISA」において、F5 BIG-IPおよびBIG-IQに脆弱性が存在すると伝えた。
これら脆弱性を悪用されると、攻撃者によって遠隔からコードが実行される可能性があるほか、影響を受けたシステムの制御権が乗っ取られる危険性があるとされており注意が必要。脆弱性に関する情報は次のページにまとまっている。
- Article: K02566623 - Overview of F5 critical vulnerabilities (March 2021)
- Article: K03009991 - iControl REST unauthenticated remote command execution vulnerability CVE-2021-22986
- Article: K18132488 - Appliance mode TMUI authenticated remote command execution vulnerability CVE-2021-22987
脆弱性が存在するとされるプロダクトおよびバージョンは次のとおり。
- BIG-IP 16.0.0から16.0.1までのバージョン
- BIG-IP 15.1.0から15.1.2までのバージョン
- BIG-IP 14.1.0から14.1.3.1までのバージョン
- BIG-IP 13.1.0から13.1.3.5までのバージョン
- BIG-IP 12.1.0から12.1.5.2までのバージョン
- BIG-IP 11.6.1から11.6.5.2までのバージョン
- BIG-IQ 7.1.0から7.1.0.2までのバージョン
- BIG-IQ 7.0.0から7.0.0.1までのバージョン
- BIG-IQ 6.0.0から6.1.0までのバージョン
脆弱性が修正されているプロダクトおよびバージョンは次のとおり。
- BIG-IP 16.0.1.1
- BIG-IP 15.1.2.1
- BIG-IP 14.1.4
- BIG-IP 13.1.3.6
- BIG-IP 12.1.5.3
- BIG-IP 11.6.5.3
- BIG-IQ 8.0.0
- BIG-IQ 7.1.0.3
- BIG-IQ 7.0.0.2
-
Article: K02566623 - Overview of F5 critical vulnerabilities (March 2021)
脆弱性のうち4つは深刻度が緊急（Critical）に分類されており注意が必要。2つは深刻度が重要（High）で、全体的に深刻度が高くなっている。Cybersecurity and Infrastructure Security Agency (CISA)はユーザーおよび管理者に対し、上記のセキュリティ情報をチェックするとともに、必要に応じてアップデートを適用することを推奨している。
