CVE-2026-40060
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Podatność w BIG-IP Advanced WAF i ASM pozwala na wysłanie nieujawnionych żądań, które powodują zakończenie procesu bd. Problem dotyczy skonfigurowanych polityk bezpieczeństwa na serwerze wirtualnym.
Ocena ryzyka
Atakujący może zdalnie spowodować awarię procesu bd, co prowadzi do przerwania działania usług i potencjalnej niedostępności aplikacji.
Rekomendacja
Zaleca się natychmiastową aktualizację systemu BIG-IP do najnowszej wersji łatającej podatność oraz monitorowanie komunikatów producenta.
Inne podatności w BIG-IP
Zobacz wszystkie- CVE-2017-6168Wysokie
Na wersjach BIG-IP 11.6.0-11.6.2, 12.0.0-12.1.2 oraz 13.0.0-13.0.0 występuje podatność na atak Adaptive Chosen Ciphertext, znany jako atak Bleichenbachera. Wykorzystanie tej podatności może prowadzić do odzyskania tekstu jawnego z zaszyfrowanych wiadomości oraz ataku typu Man-in-the-middle.
- CVE-2026-59762Wysokie
Podatność w profilu HTTP/2 na wirtualnym serwerze BIG-IP pozwala nieuwierzytelnionemu atakującemu na zdalne wywołanie zwiększonego zużycia pamięci. Może to prowadzić do degradacji wydajności systemu, aż do wymuszonego lub ręcznego restartu procesu TMM.
- CVE-2026-40698Wysokie
Podatność w systemach BIG-IP i BIG-IQ umożliwia uwierzytelnionemu atakującemu z rolą co najmniej Resource Administrator eskalację uprawnień poprzez tworzenie obiektów konfiguracji SNMP za pomocą iControl REST lub powłoki TMOS (tmsh).
- CVE-2026-40618Wysokie
Podatność w BIG-IP pozwala na zatrzymanie TMM przez nieokreślony ruch, gdy profil SSL jest skonfigurowany na Virtual Edition bez QAT lub na sprzęcie z wyłączoną akceleracją sprzętową.
- CVE-2026-40061Wysokie
W systemie BIG-IP z włączoną usługą DNS wykryto podatność w nieujawnionym poleceniu iControl REST oraz tmsh. Umożliwia ona uwierzytelnionemu atakującemu z rolą Resource Administrator lub Administrator wykonanie dowolnych poleceń systemowych z podwyższonymi uprawnieniami.
- CVE-2026-39455Wysokie
W narzędziu konfiguracyjnym BIG-IP skonfigurowanym do uwierzytelniania LDAP, nieokreślony ruch może spowodować wyczerpanie dostępnych deskryptorów plików przez proces httpd.
- CVE-2026-32673Wysokie
Podatność w skryptowanych monitorach BIG-IP umożliwia uwierzytelnionemu atakującemu z rolą Administratora Zasobów lub Administratora wykonanie dowolnych poleceń systemowych z podwyższonymi uprawnieniami. W przypadku wdrożeń w trybie urządzenia, udany atak może pozwolić na przekroczenie granicy bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
When a BIG-IP Advanced WAF or ASM security policy is configured on a virtual server, undisclosed requests can cause the bd process to terminate. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.