CVE-2017-6145
WysokieStreszczenie
Usługa iControl REST w F5 BIG-IP LTM, AAM, AFM, Analytics, APM, ASM, DNS, Link Controller, PEM i WebSafe w wersjach od 12.0.0 do 12.1.2 oraz 13.0.0 nieprawidłowo waliduje ciasteczka BIGIPAuthCookie podczas konwersji na tokeny X-F5-Auth-Token. To pozwala na przekształcenie wygasłych ciasteczek w ważne tokeny.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp, ponieważ wygasłe ciasteczka mogą być używane do uzyskania ważnych tokenów, co stwarza ryzyko naruszenia bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji oprogramowania F5 BIG-IP, aby usunąć tę podatność oraz wdrożenie dodatkowych mechanizmów walidacji ciasteczek.
Inne podatności w F5 BIG-IP LTM, AAM, AFM, Analytics, APM, ASM, DNS, Link Controller, PEM, WebSafe
Zobacz wszystkie- CVE-2017-6167Wysokie
W oprogramowaniu F5 BIG-IP LTM, AAM, AFM, Analytics, APM, ASM, DNS, Link Controller, PEM i WebSafe w wersjach 13.0.0 oraz 12.1.0 - 12.1.2 występują warunki wyścigu w iControl REST, które mogą prowadzić do wykonania poleceń z innymi poziomami uprawnień niż oczekiwano.
- CVE-2017-6133Wysokie
W oprogramowaniu F5 BIG-IP LTM, AAM, AFM, Analytics, APM, ASM, DNS, Link Controller, PEM i WebSafe w wersjach 13.0.0 oraz 12.1.0 - 12.1.2, nieujawnione żądania HTTP mogą prowadzić do odmowy usługi.
Oryginalny opis (angielski, źródło NVD)
iControl REST in F5 BIG-IP LTM, AAM, AFM, Analytics, APM, ASM, DNS, Link Controller, PEM, and WebSafe 12.0.0 through 12.1.2 and 13.0.0 includes a service to convert authorization BIGIPAuthCookie cookies to X-F5-Auth-Token tokens. This service does not properly re-validate cookies when making that conversion, allowing once-valid but now expired cookies to be converted to valid tokens.