Aktywnie wykorzystywana w atakach
F5 BIG-IP Configuration Utility SQL Injection Vulnerability
F5 - BIG-IP Configuration Utility · Figuruje w katalogu CISA KEV od 2023-10-31. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
CVE-2023-46748
WysokieCVSS 8.8KEVStreszczenie
Uwierzytelniona podatność SQL injection występuje w narzędziu BIG-IP Configuration utility. Może pozwolić uwierzytelnionemu atakującemu z dostępem sieciowym do narzędzia przez port zarządzania BIG-IP i/lub adresy self IP na wykonanie dowolnych poleceń systemowych.
Ocena ryzyka
Uwierzytelniony atakujący może wykonać dowolne polecenia systemowe, co może prowadzić do pełnego przejęcia systemu.
Rekomendacja
Zaktualizuj oprogramowanie BIG-IP do wersji zawierającej poprawkę; wersje po zakończeniu wsparcia technicznego nie są oceniane.
Inne podatności w BIG-IP Configuration utility
Zobacz wszystkie- CVE-2026-40703Średnie
W panelu sterowania narzędzia konfiguracyjnego BIG-IP występuje podatność na atak typu cross-site request forgery (CSRF). Dotyczy to wersji oprogramowania, które nie osiągnęły końca wsparcia technicznego (EoTS).
- CVE-2023-38423Średnie
W podatności CVE-2023-38423 występuje luka typu cross-site scripting (XSS) w nieujawnionej stronie narzędzia konfiguracyjnego BIG-IP, która pozwala atakującemu na uruchomienie JavaScript w kontekście aktualnie zalogowanego użytkownika.
- CVE-2023-38138Wysokie
W BIG-IP Configuration utility występuje podatność na refleksyjny atak XSS, która pozwala atakującemu na uruchomienie JavaScriptu w kontekście aktualnie zalogowanego użytkownika.
Oryginalny opis (angielski, źródło NVD)
An authenticated SQL injection vulnerability exists in the BIG-IP Configuration utility which may allow an authenticated attacker with network access to the Configuration utility through the BIG-IP management port and/or self IP addresses to execute arbitrary system commands. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated