F5 · BIG-IP Traffic Management Microkernel
CVE-2021-22991
F5 BIG-IP Traffic Management Microkernel Buffer Overflow
چیست
On BIG-IP versions 16.0.x before 16.0.1.1, 15.1.x before 15.1.2.1, 14.1.x before 14.1.4, 13.1.x before 13.1.3.6, and 12.1.x before 12.1.5.3, undisclosed requests to a virtual server may be incorrectly handled by the Traffic Management Microkernel (TMM) URI normalization, which may trigger a buffer overflow, resulting in a DoS attack. In certain situations, it may theoretically allow bypass of URL based access control or remote code execution (RCE). Note: Software versions which have reached End of Software Development (EoSD) are not evaluated.
CISA: The Traffic Management Microkernel of BIG-IP ASM Risk Engine has a buffer overflow vulnerability, leading to a bypassing of URL-based access controls.
چه باید کرد
Apply updates per vendor instructions.
مهلت برای نهادهای فدرال آمریکا: ۱ فوریهٔ ۲۰۲۲
- افزوده‌شده به فهرست CISA
- ۱۸ ژانویهٔ ۲۰۲۲
- منتشرشده
- ۳۱ مارس ۲۰۲۱
- شدت
- بحرانی ۹٫۸ CVSS 3.1
- احتمال حمله در ۳۰ روز آینده (EPSS)
- ۶۲% در ۰٫۸% بالای همهٔ آسیب‌پذیری‌های شناخته‌شده
- نوع ضعف
- CWE-119
- جزئیات بیشتر
- NVD · CVE.org · CISA
همهٔ منابع (1)
آسیب‌پذیری‌های دیگر F5 که مورد سوءاستفاده‌اند
| افزوده‌شده | آسیب‌پذیری | محصول | شدت | احتمال حمله |
|---|---|---|---|---|
| ۲۲ سپتامبر ۲۰۲۶ | Heap-based Buffer Overflow | BIG-IP APM | بحرانی ۹٫۳ | ۲۵% |
| ۲۷ مارس ۲۰۲۶ | Stack-Based Buffer Overflow | BIG-IP | بحرانی ۹٫۳ | ۲٫۳% |
| ۳۱ اکتبر ۲۰۲۳ | Authentication Bypass | BIG-IP Configuration Utility | بحرانی ۹٫۸ | ۹۷% |
| ۳۱ اکتبر ۲۰۲۳ | SQL Injection | BIG-IP Configuration Utility | بالا ۸٫۸ | ۴٫۲% |
| ۱۰ مه ۲۰۲۲ | Missing Authentication | BIG-IP | بحرانی ۹٫۸ | >۹۹٫۹% |
| ۳ نوامبر ۲۰۲۱ | Traffic Management User Interface (TMUI) Remote Code Execution | BIG-IP | بحرانی ۹٫۸ | >۹۹٫۹% |
| ۳ نوامبر ۲۰۲۱ | iControl REST Remote Code Execution | BIG-IP and BIG-IQ Centralized Management | بحرانی ۹٫۸ | ۹۹٫۹% |
منابع: Known Exploited Vulnerabilities (CISA، مالکیت عمومی)، CVE records (cve.org) و EPSS (FIRST). احتمال حمله برآورد EPSS از این است که کسی در ۳۰ روز آینده برای سوءاستفاده از این آسیب‌پذیری تلاش کند.