CVE-2026-40618
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Podatność w BIG-IP pozwala na zatrzymanie TMM przez nieokreślony ruch, gdy profil SSL jest skonfigurowany na Virtual Edition bez QAT lub na sprzęcie z wyłączoną akceleracją sprzętową.
Ocena ryzyka
Atakujący może spowodować przerwanie działania TMM, co prowadzi do niedostępności usług i potencjalnej utraty ruchu sieciowego.
Rekomendacja
Zaleca się aktualizację do wersji BIG-IP zawierającej poprawkę lub włączenie akceleracji sprzętowej QAT, jeśli jest dostępna.
Inne podatności w BIG-IP
Zobacz wszystkie- CVE-2017-6168Wysokie
Na wersjach BIG-IP 11.6.0-11.6.2, 12.0.0-12.1.2 oraz 13.0.0-13.0.0 występuje podatność na atak Adaptive Chosen Ciphertext, znany jako atak Bleichenbachera. Wykorzystanie tej podatności może prowadzić do odzyskania tekstu jawnego z zaszyfrowanych wiadomości oraz ataku typu Man-in-the-middle.
- CVE-2026-59762Wysokie
Podatność w profilu HTTP/2 na wirtualnym serwerze BIG-IP pozwala nieuwierzytelnionemu atakującemu na zdalne wywołanie zwiększonego zużycia pamięci. Może to prowadzić do degradacji wydajności systemu, aż do wymuszonego lub ręcznego restartu procesu TMM.
- CVE-2026-40698Wysokie
Podatność w systemach BIG-IP i BIG-IQ umożliwia uwierzytelnionemu atakującemu z rolą co najmniej Resource Administrator eskalację uprawnień poprzez tworzenie obiektów konfiguracji SNMP za pomocą iControl REST lub powłoki TMOS (tmsh).
- CVE-2026-40061Wysokie
W systemie BIG-IP z włączoną usługą DNS wykryto podatność w nieujawnionym poleceniu iControl REST oraz tmsh. Umożliwia ona uwierzytelnionemu atakującemu z rolą Resource Administrator lub Administrator wykonanie dowolnych poleceń systemowych z podwyższonymi uprawnieniami.
- CVE-2026-40060Wysokie
Podatność w BIG-IP Advanced WAF i ASM pozwala na wysłanie nieujawnionych żądań, które powodują zakończenie procesu bd. Problem dotyczy skonfigurowanych polityk bezpieczeństwa na serwerze wirtualnym.
- CVE-2026-39455Wysokie
W narzędziu konfiguracyjnym BIG-IP skonfigurowanym do uwierzytelniania LDAP, nieokreślony ruch może spowodować wyczerpanie dostępnych deskryptorów plików przez proces httpd.
- CVE-2026-32673Wysokie
Podatność w skryptowanych monitorach BIG-IP umożliwia uwierzytelnionemu atakującemu z rolą Administratora Zasobów lub Administratora wykonanie dowolnych poleceń systemowych z podwyższonymi uprawnieniami. W przypadku wdrożeń w trybie urządzenia, udany atak może pozwolić na przekroczenie granicy bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
When an SSL profile is configured on a virtual server on BIG-IP Virtual Edition (VE) without Intel QuickAssist Technology (QAT) or on BIG-IP hardware platforms with the database variable crypto.hwacceleration set to disabled, undisclosed traffic can cause the Traffic Management Microkernel (TMM) to terminate. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.