CVE-2026-32673
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Podatność w skryptowanych monitorach BIG-IP umożliwia uwierzytelnionemu atakującemu z rolą Administratora Zasobów lub Administratora wykonanie dowolnych poleceń systemowych z podwyższonymi uprawnieniami. W przypadku wdrożeń w trybie urządzenia, udany atak może pozwolić na przekroczenie granicy bezpieczeństwa.
Ocena ryzyka
Ryzyko polega na możliwości eskalacji uprawnień i wykonania nieautoryzowanych poleceń, co może prowadzić do pełnej kompromitacji systemu BIG-IP oraz naruszenia izolacji bezpieczeństwa w środowisku.
Rekomendacja
Zaleca się natychmiastową aktualizację systemu BIG-IP do wersji zawierającej poprawkę oraz ograniczenie liczby użytkowników z rolami Administratora Zasobów i Administratora do niezbędnego minimum.
Inne podatności w BIG-IP
Zobacz wszystkie- CVE-2017-6168Wysokie
Na wersjach BIG-IP 11.6.0-11.6.2, 12.0.0-12.1.2 oraz 13.0.0-13.0.0 występuje podatność na atak Adaptive Chosen Ciphertext, znany jako atak Bleichenbachera. Wykorzystanie tej podatności może prowadzić do odzyskania tekstu jawnego z zaszyfrowanych wiadomości oraz ataku typu Man-in-the-middle.
- CVE-2026-59762Wysokie
Podatność w profilu HTTP/2 na wirtualnym serwerze BIG-IP pozwala nieuwierzytelnionemu atakującemu na zdalne wywołanie zwiększonego zużycia pamięci. Może to prowadzić do degradacji wydajności systemu, aż do wymuszonego lub ręcznego restartu procesu TMM.
- CVE-2026-40698Wysokie
Podatność w systemach BIG-IP i BIG-IQ umożliwia uwierzytelnionemu atakującemu z rolą co najmniej Resource Administrator eskalację uprawnień poprzez tworzenie obiektów konfiguracji SNMP za pomocą iControl REST lub powłoki TMOS (tmsh).
- CVE-2026-40618Wysokie
Podatność w BIG-IP pozwala na zatrzymanie TMM przez nieokreślony ruch, gdy profil SSL jest skonfigurowany na Virtual Edition bez QAT lub na sprzęcie z wyłączoną akceleracją sprzętową.
- CVE-2026-40061Wysokie
W systemie BIG-IP z włączoną usługą DNS wykryto podatność w nieujawnionym poleceniu iControl REST oraz tmsh. Umożliwia ona uwierzytelnionemu atakującemu z rolą Resource Administrator lub Administrator wykonanie dowolnych poleceń systemowych z podwyższonymi uprawnieniami.
- CVE-2026-40060Wysokie
Podatność w BIG-IP Advanced WAF i ASM pozwala na wysłanie nieujawnionych żądań, które powodują zakończenie procesu bd. Problem dotyczy skonfigurowanych polityk bezpieczeństwa na serwerze wirtualnym.
- CVE-2026-39455Wysokie
W narzędziu konfiguracyjnym BIG-IP skonfigurowanym do uwierzytelniania LDAP, nieokreślony ruch może spowodować wyczerpanie dostępnych deskryptorów plików przez proces httpd.
Oryginalny opis (angielski, źródło NVD)
A vulnerability exists in BIG-IP scripted monitors that may allow an authenticated attacker with the Resource Administrator or Administrator role to execute arbitrary system commands with higher privileges. In appliance mode deployments, a successful exploit can allow the attacker to cross a security boundary. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.