F5 · BIG-IP Traffic Management Microkernel
CVE-2021-22991
F5 BIG-IP Traffic Management Microkernel Buffer Overflow
De quoi s'agit-il
On BIG-IP versions 16.0.x before 16.0.1.1, 15.1.x before 15.1.2.1, 14.1.x before 14.1.4, 13.1.x before 13.1.3.6, and 12.1.x before 12.1.5.3, undisclosed requests to a virtual server may be incorrectly handled by the Traffic Management Microkernel (TMM) URI normalization, which may trigger a buffer overflow, resulting in a DoS attack. In certain situations, it may theoretically allow bypass of URL based access control or remote code execution (RCE). Note: Software versions which have reached End of Software Development (EoSD) are not evaluated.
CISA: The Traffic Management Microkernel of BIG-IP ASM Risk Engine has a buffer overflow vulnerability, leading to a bypassing of URL-based access controls.
Que faire
Apply updates per vendor instructions.
Échéance pour les agences fédérales américaines : 1 février 2022
- Ajoutée à la liste de la CISA
- 18 janvier 2022
- Publiée
- 31 mars 2021
- Gravité
- Critique 9,8 CVSS 3.1
- Probabilité d'attaques dans les 30 prochains jours (EPSS)
- 62% dans les 0,8% les plus à risque de toutes les failles connues
- Faiblesse
- CWE-119
- Plus de détails
- NVD · CVE.org · CISA
Toutes les références (1)
Autres failles exploitées chez F5
| Ajouté | Faille | Produit | Gravité | Risque d'attaque |
|---|---|---|---|---|
| 22 sept. 2026 | Heap-based Buffer Overflow | BIG-IP APM | Critique 9,3 | 25% |
| 27 mars 2026 | Stack-Based Buffer Overflow | BIG-IP | Critique 9,3 | 2,3% |
| 31 oct. 2023 | Authentication Bypass | BIG-IP Configuration Utility | Critique 9,8 | 97% |
| 31 oct. 2023 | SQL Injection | BIG-IP Configuration Utility | Élevé 8,8 | 4,2% |
| 10 mai 2022 | Missing Authentication | BIG-IP | Critique 9,8 | >99,9% |
| 3 nov. 2021 | Traffic Management User Interface (TMUI) Remote Code Execution | BIG-IP | Critique 9,8 | >99,9% |
| 3 nov. 2021 | iControl REST Remote Code Execution | BIG-IP and BIG-IQ Centralized Management | Critique 9,8 | 99,9% |
Sources : Known Exploited Vulnerabilities (CISA, domaine public), CVE records (cve.org) et EPSS (FIRST). Le risque d'attaque est l'estimation EPSS qu'une personne tente d'exploiter la faille dans les 30 prochains jours.