Aktywnie wykorzystywana w atakach

F5 BIG-IP and BIG-IQ Centralized Management iControl REST Remote Code Execution Vulnerability

F5 - BIG-IP and BIG-IQ Centralized Management · Figuruje w katalogu CISA KEV od 2021-11-03. Oznacza to potwierdzone ataki w środowisku produkcyjnym.

Wymagane działanie: Apply updates per vendor instructions.

CVE-2021-22986

KrytyczneCVSS 9.8KEV

Opublikowano: 31/03/2021(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Streszczenie

W urządzeniach BIG-IP w wersjach 16.0.x przed 16.0.1.1, 15.1.x przed 15.1.2.1, 14.1.x przed 14.1.4, 13.1.x przed 13.1.3.6 oraz 12.1.x przed 12.1.5.3, a także BIG-IQ 7.1.0.x przed 7.1.0.3 i 7.0.0.x przed 7.0.0.2, interfejs iControl REST posiada podatność umożliwiającą nieuwierzytelnione zdalne wykonanie poleceń.

Ocena ryzyka

Atakujący bez uwierzytelnienia może zdalnie wykonać dowolne polecenia na urządzeniu BIG-IP lub BIG-IQ, co prowadzi do pełnej kompromitacji urządzenia brzegowego. Może to skutkować przejęciem kontroli nad ruchem sieciowym i dostępem do chronionych zasobów.

Rekomendacja

Natychmiast zaktualizuj BIG-IP do wersji 16.0.1.1, 15.1.2.1, 14.1.4, 13.1.3.6 lub 12.1.5.3 (lub nowszych) oraz BIG-IQ do 7.1.0.3 lub 7.0.0.2 (lub nowszych). Ogranicz dostęp do interfejsu iControl REST z niezaufanych sieci.

Inne podatności w F5 BIG-IP / BIG-IQ

CVE-2026-32643Wysokie
Podatność w systemach BIG-IP i BIG-IQ umożliwia wysoko uprzywilejowanemu, uwierzytelnionemu atakującemu z rolą co najmniej Certificate Manager modyfikację obiektów konfiguracyjnych, co pozwala na wykonanie dowolnych poleceń.

Oryginalny opis (angielski, źródło NVD)

On BIG-IP versions 16.0.x before 16.0.1.1, 15.1.x before 15.1.2.1, 14.1.x before 14.1.4, 13.1.x before 13.1.3.6, and 12.1.x before 12.1.5.3 amd BIG-IQ 7.1.0.x before 7.1.0.3 and 7.0.0.x before 7.0.0.2, the iControl REST interface has an unauthenticated remote command execution vulnerability. Note: Software versions which have reached End of Software Development (EoSD) are not evaluated.