F5 · BIG-IP
CVE-2022-1388
F5 BIG-IP Missing Authentication Vulnerability
这是什么
On F5 BIG-IP 16.1.x versions prior to 16.1.2.2, 15.1.x versions prior to 15.1.5.1, 14.1.x versions prior to 14.1.4.6, 13.1.x versions prior to 13.1.5, and all 12.1.x and 11.6.x versions, undisclosed requests may bypass iControl REST authentication. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated
CISA: F5 BIG-IP contains a missing authentication in critical function vulnerability which can allow for remote code execution, creation or deletion of files, or disabling services.
该怎么做
Apply updates per vendor instructions.
美国联邦机构的修复期限：2022年5月31日
- 加入 CISA 列表
- 2022年5月10日
- 发布日期
- 2022年5月5日
- 严重程度
- 严重 9.8 CVSS 3.1
- 未来 30 天遭受攻击的概率（EPSS）
- >99.9% 位列所有已知漏洞的前 0.1%
- 弱点类型
- CWE-306
- 更多详情
- NVD · CVE.org · CISA
全部参考链接（5）
- https://support.f5.com/csp/article/K23605346
- http://packetstormsecurity.com/files/167007/F5-BIG-IP-Remote-Code-Execution.html
- http://packetstormsecurity.com/files/167118/F5-BIG-IP-16.0.x-Remote-Code-Execution.html
- http://packetstormsecurity.com/files/167150/F5-BIG-IP-iControl-Remote-Code-Execution.html
- https://www.secpod.com/blog/critical-f5-big-ip-remote-code-execution-vulnerability-patch-now/
F5 的其他被利用漏洞
| 加入日期 | 漏洞 | 产品 | 严重程度 | 受攻击概率 |
|---|---|---|---|---|
| 2026年3月27日 | Stack-Based Buffer Overflow | BIG-IP | 严重 9.3 | 2.3% |
| 2021年11月3日 | Traffic Management User Interface (TMUI) Remote Code Execution | BIG-IP | 严重 9.8 | >99.9% |
| 2026年9月22日 | Heap-based Buffer Overflow | BIG-IP APM | 严重 9.3 | 25% |
| 2023年10月31日 | Authentication Bypass | BIG-IP Configuration Utility | 严重 9.8 | 97% |
| 2023年10月31日 | SQL Injection | BIG-IP Configuration Utility | 高 8.8 | 4.2% |
| 2022年1月18日 | Buffer Overflow | BIG-IP Traffic Management Microkernel | 严重 9.8 | 62% |
| 2021年11月3日 | iControl REST Remote Code Execution | BIG-IP and BIG-IQ Centralized Management | 严重 9.8 | 99.9% |
来源：Known Exploited Vulnerabilities（CISA，公有领域）、CVE records（cve.org）和 EPSS（FIRST）。受攻击概率是 EPSS 对未来 30 天内有人尝试利用该漏洞的估计。