CNNVD：关于F5 BIG-IP 访问控制错误漏洞的通报

扫码订阅《中国信息安全》杂志

权威刊物 重要平台 关键渠道

邮发代号 2-786

近日，国家信息安全漏洞库（CNNVD）收到关于F5 BIG-IP 访问控制错误漏洞（CNNVD-202205-2141、 CVE-2022-1388）情况的报送。攻击者可在未授权的情况下远程执行命令、创建或删除文件、开启或关闭服务等。F5 BIG-IP 16.1.0-16.1.2版本、15.1.0-15.1.5版本、14.1.0-14.1.4版本、13.1.0-13.1.4版本、12.1.0 - 12.1.6版本、11.6.1-11.6.5版本等多个版本均受此漏洞影响。目前，F5官方已经发布了新版本修复了漏洞，建议用户及时确认是否受到漏洞影响，尽快采取修补措施。

一、漏洞介绍

F5BIG-IP是美国F5公司的一款集成了网络流量管理、应用程序安全管理、负载均衡等功能的应用交付平台。F5 BIG-IP中存在访问控制错误漏洞，该漏洞是由于iControl REST的身份验证功能存在缺陷，攻击者可利用该漏洞绕过身份验证，对目标系统远程执行命令、创建或删除文件、开启或关闭服务等。

二、危害影响

	F5 BIG-IP 16.1.0-16.1.2版本、15.1.0-15.1.5版本、14.1.0-14.1.4版本、13.1.0-13.1.4版本、12.1.0 - 12.1.6版本、11.6.1-11.6.5版本等多个版本均受此漏洞影响。

三、修复建议

	目前，F5官方已经发布了新版本修复了漏洞，建议用户及时确认是否受到漏洞影响，尽快采取修补措施。官方链接如下：
	https://downloads.f5.com

本通报由CNNVD技术支撑单位——深信服科技股份有限公司、华为技术有限公司、杭州安恒信息技术股份有限公司、北京天融信网络安全技术有限公司、北京奇虎科技有限公司、长春嘉诚信息技术股份有限公司、北京华顺信安科技有限公司、北京华云安信息技术有限公司、博智安全科技股份有限公司、中瑞创信息技术（北京）有限公司、上海安识网络科技有限公司、安徽华云安科技有限公司、内蒙古洞明科技有限公司、北京数字观星科技有限公司、北京永信至诚科技股份有限公司、新华三技术有限公司、杭州迪普科技股份有限公司、长亭科技股份有限公司、北京神州绿盟科技有限公司、北京知道创宇信息技术股份有限公司、奇安信网神信息技术（北京）股份有限公司、恒安嘉新（北京）科技股份公司提供支持。

CNNVD将继续跟踪上述漏洞的相关情况，及时发布相关信息。如有需要，可与CNNVD联系。联系方式: cnnvdvul@itsec.gov.cn