CVE-2026-63020
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Podatność w nieujawnionej stronie narzędzia konfiguracyjnego BIG-IP, która może pozwolić atakującemu na sfałszowanie komunikatów błędów. Atakujący może nakłonić uwierzytelnionych użytkowników BIG-IP do kliknięcia złośliwych linków i odzwierciedlić sfałszowany komunikat błędu w sesji przeglądarki narzędzia konfiguracyjnego. Jest to problem płaszczyzny kontroli; brak ekspozycji płaszczyzny danych.
Ocena ryzyka
Ryzyko socjotechniki i manipulacji uwierzytelnionymi użytkownikami, co może prowadzić do nieautoryzowanych działań w konfiguracji BIG-IP.
Rekomendacja
Zastosuj poprawki bezpieczeństwa dostarczone przez producenta dla BIG-IP, jeśli są dostępne, i poinstruuj użytkowników o ostrożności przy klikaniu linków.
Inne podatności w BIG-IP
Zobacz wszystkie- CVE-2017-6168Wysokie
Na wersjach BIG-IP 11.6.0-11.6.2, 12.0.0-12.1.2 oraz 13.0.0-13.0.0 występuje podatność na atak Adaptive Chosen Ciphertext, znany jako atak Bleichenbachera. Wykorzystanie tej podatności może prowadzić do odzyskania tekstu jawnego z zaszyfrowanych wiadomości oraz ataku typu Man-in-the-middle.
- CVE-2026-94127Krytyczne
Gdy na serwerze wirtualnym skonfigurowano politykę dostępu BIG-IP APM oraz profil OAuth, określony złośliwy ruch może prowadzić do zdalnego wykonania kodu (RCE). Podatność dotyczy płaszczyzny danych; nie ma ekspozycji płaszczyzny kontrolnej. System BIG-IP w trybie Appliance jest również podatny.
- CVE-2026-66842Wysokie
Podatność w BIG-IP, gdzie uwierzytelniony użytkownik dowolnej roli może tworzyć konta administracyjne poprzez nieujawnione żądanie do Traffic Management User Interface (TMUI).
- CVE-2026-59762Wysokie
Podatność w profilu HTTP/2 na wirtualnym serwerze BIG-IP pozwala nieuwierzytelnionemu atakującemu na zdalne wywołanie zwiększonego zużycia pamięci. Może to prowadzić do degradacji wydajności systemu, aż do wymuszonego lub ręcznego restartu procesu TMM.
- CVE-2026-40698Wysokie
Podatność w systemach BIG-IP i BIG-IQ umożliwia uwierzytelnionemu atakującemu z rolą co najmniej Resource Administrator eskalację uprawnień poprzez tworzenie obiektów konfiguracji SNMP za pomocą iControl REST lub powłoki TMOS (tmsh).
- CVE-2026-40618Wysokie
Podatność w BIG-IP pozwala na zatrzymanie TMM przez nieokreślony ruch, gdy profil SSL jest skonfigurowany na Virtual Edition bez QAT lub na sprzęcie z wyłączoną akceleracją sprzętową.
- CVE-2026-40061Wysokie
W systemie BIG-IP z włączoną usługą DNS wykryto podatność w nieujawnionym poleceniu iControl REST oraz tmsh. Umożliwia ona uwierzytelnionemu atakującemu z rolą Resource Administrator lub Administrator wykonanie dowolnych poleceń systemowych z podwyższonymi uprawnieniami.
- CVE-2026-40060Wysokie
Podatność w BIG-IP Advanced WAF i ASM pozwala na wysłanie nieujawnionych żądań, które powodują zakończenie procesu bd. Problem dotyczy skonfigurowanych polityk bezpieczeństwa na serwerze wirtualnym.
- CVE-2026-39455Wysokie
W narzędziu konfiguracyjnym BIG-IP skonfigurowanym do uwierzytelniania LDAP, nieokreślony ruch może spowodować wyczerpanie dostępnych deskryptorów plików przez proces httpd.
- CVE-2026-32673Wysokie
Podatność w skryptowanych monitorach BIG-IP umożliwia uwierzytelnionemu atakującemu z rolą Administratora Zasobów lub Administratora wykonanie dowolnych poleceń systemowych z podwyższonymi uprawnieniami. W przypadku wdrożeń w trybie urządzenia, udany atak może pozwolić na przekroczenie granicy bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
A vulnerability exists in an undisclosed BIG-IP Configuration utility page that may allow an attacker to spoof error messages Impact: An attacker may trick authenticated BIG-IP users into accessing malicious links and reflect a spoofed error message in the victim's BIG-IP Configuration utility web browser session. This is a control plane issue; there is no data plane exposure. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.