CVE-2026-39459
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Podatność w iControl REST i TMOS Shell (tmsh) umożliwia uwierzytelnionemu atakującemu z rolą co najmniej Menedżera tworzenie obiektów konfiguracyjnych, które pozwalają na wykonanie dowolnych poleceń.
Ocena ryzyka
Ryzyko polega na możliwości pełnego przejęcia kontroli nad systemem przez uprzywilejowanego atakującego, co może prowadzić do naruszenia poufności, integralności i dostępności danych.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawek bezpieczeństwa dostarczonych przez producenta oraz ograniczenie dostępu do interfejsów iControl REST i tmsh tylko dla zaufanych administratorów.
Inne podatności w F5 BIG-IP
Zobacz wszystkie- CVE-2016-9250Wysokie
W F5 BIG-IP w wersjach 11.2.1, 11.4.0 do 11.6.1 oraz 12.0.0 do 12.1.2, nieautoryzowany użytkownik z dostępem do płaszczyzny sterującej może usunąć dowolne pliki za pomocą nieujawnionego mechanizmu.
- CVE-2016-9256Wysokie
W F5 BIG-IP w wersjach od 12.1.0 do 12.1.2 występuje warunek wyścigu, który może prowadzić do opóźnienia w egzekwowaniu uprawnień przez iControl. Jeśli mapa ról nie zostanie przeładowana po zmianie uprawnień, użytkownik może uzyskać dostęp do zasobów, do których nie powinien mieć dostępu.
- CVE-2016-9253Wysokie
W F5 BIG-IP w wersjach od 12.1.0 do 12.1.2, określone wzorce ruchu websocket mogą powodować zakłócenia w działaniu serwerów wirtualnych skonfigurowanych do używania profilu websocket.
- CVE-2016-9251Wysokie
W F5 BIG-IP w wersjach od 12.0.0 do 12.1.2, uwierzytelniony atakujący może zyskać podwyższone uprawnienia poprzez spreparowane połączenie iControl REST.
- CVE-2016-9252Wysokie
Mikrokernel zarządzania ruchem (TMM) w F5 BIG-IP przed wersją 11.5.4 HF3, 11.6.x przed 11.6.1 HF2 oraz 12.x przed 12.1.2 nieprawidłowo obsługuje minimalne opcje MTU dla IPv6, co pozwala zdalnym atakującym na wywołanie odmowy usługi (DoS) poprzez nieokreślone wektory.
- CVE-2016-5020Wysokie
F5 BIG-IP w wersjach przed 12.0.0 HF3 pozwala zdalnym uwierzytelnionym użytkownikom na modyfikację konfiguracji kont użytkowników z rolą Administracji Zasobów, co może prowadzić do uzyskania przywilejów za pomocą spreparowanego skryptu monitorującego EAV.
- CVE-2016-4545Wysokie
Serwery wirtualne w F5 BIG-IP 11.5.4, gdy włączone są profile SSL, umożliwiają zdalnym atakującym spowodowanie odmowy usługi poprzez zużycie zasobów i ponowne uruchomienie mikrojądra zarządzania ruchem w wyniku alertu SSL podczas handshake.
- CVE-1999-1550Średnie
Plik bigconf.conf w F5 BIG/ip w wersji 2.1.2 i wcześniejszych umożliwia zdalnym atakującym odczyt dowolnych plików poprzez określenie docelowego pliku w parametrze 'file'.
- CVE-2026-40629Wysokie
Podatność w profilach SSL na wirtualnym serwerze może spowodować zatrzymanie przetwarzania nowych połączeń klienckich przez nieujawniony ruch sieciowy. Problem dotyczy oprogramowania, które nie osiągnęło końca wsparcia technicznego.
- CVE-2026-40462Średnie
Podatność w iControl REST i powłoce TMOS (tmsh) wynika z nieprawidłowego przypisania uprawnień do nieujawnionego polecenia. Umożliwia to uwierzytelnionemu atakującemu odczyt wrażliwych informacji.
Oryginalny opis (angielski, źródło NVD)
A vulnerability exists in iControl REST and the TMOS Shell (tmsh) where a highly privileged, authenticated attacker with at least the Manager role can create configuration objects that allow running arbitrary commands. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.