Zpětná vazba k reportu

Autentizovanému vzdálenému útočníkovi je na instancích F5OS-A a F5OS-C kvůli chybné autorizaci při použití externí autentizace (LDAP, RADIUS, TACACS+) umožněno eskalovat svá oprávnění (např. na roli F5OS administrátora). Není-li možné aktualizovat na opravenou verzi ihned, lze riziko dočasně mitigovat nastavením adresáře pro vzdálenou autentizaci tak, aby žádné skupiny nepoužívaly group ID (GID) hodnoty rezervované systémem F5OS (např. 9000 či 9001). Detailní informace ke zranitelnosti a dočasné opravě naleznete na [2].

Zranitelnost se nachází v produktech:

• F5OS-A (f5os-a) ve verzích ==1.5.1
• F5OS-C (f5os-c) ve verzích >=1.6.0 AND <=1.6.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Více informací:

• CVE-2025-46265 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
• CWE-863: Incorrect Authorization at cwe.mitre.org

Zranitelnost byla veřejně oznámena 7. 5. 2025.

Autentizovanému vzdálenému útočníkovi s oprávněním administrátora je na systémech BIG-IP běžících v módu Appliance umožněno prostřednictvím rozhraní iControl REST nebo lokálního přístupu přes TMOS Shell (tmsh) spouštět libovolné systémové příkazy v Advanced Shell (bash) a vytvářet či mazat soubory. Není-li možné aktualizovat na opravenou verzi ihned, lze riziko dočasně mitigovat omezením přístupu k rozhraní iControl REST a příkazové řádce přes SSH na důvěryhodné sítě a zařízení dle jednoho z postupů na [3].

Zranitelnost se nachází v produktu BIG-IP ve verzích (>=15.1.0 AND <=15.1.10) OR (>=16.1.0 AND <=16.1.5) OR (>=17.1.0 AND <=17.1.2).

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N

Více informací:

• CVE-2025-31644 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
• CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') at cwe.mitre.org

Zranitelnost byla veřejně oznámena 7. 5. 2025.

Neautentizovanému vzdálenému útočníkovi je na instancích F5OS-A a F5OS-C umožněno získat neoprávněný přístup k systému v módu Appliance v případě, že byl dříve uživatelem root povolen SSH přístup pomocí klíče a útočník získá privátní klíč korespondující s některým ze záznamů v root souboru "authorized_keys". Není-li možná okamžitá aktualizace na opravenou verzi, lze riziko dočasně mitigovat odstraněním všech konfigurovaných veřejných SSH klíčů před spuštěním módu Appliance [4].

Zranitelnost se nachází v produktech:

• F5OS-A (f5os-a) ve verzích >=1.5.1 AND <=1.5.2
• F5OS-C (f5os-c) ve verzích >=1.6.0 AND <=1.6.2

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Více informací:

• CVE-2025-36546 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
• CWE-863: Incorrect Authorization at cwe.mitre.org

Zranitelnost byla veřejně oznámena 7. 5. 2025.

Neautentizovanému vzdálenému útočníkovi je na systémech BIG-IP, BIG-IP Next, BIG-IP Next CNF a BIG-IP Next SPK zasíláním speciálně vytvořených požadavků na virtuální server s aktivním profilem Stream Control Transmission Protocol (SCTP) umožněno vykonat útok DoS. Není-li možná okamžitá aktualizace na opravenou verzi, lze dopad zranitelnosti dočasně mitigovat nasazením BIG-IP v režimu vysoké dostupnosti (HA). Detailní informace ke zranitelnosti i dočasné opravě jsou k dispozici na [5].

Zranitelnost se nachází v produktech:

• BIG-IP ve verzích (>=15.1.0 AND <=15.1.8) OR (>=16.1.0 AND <=16.1.3) OR (==17.1.0)
• BIG-IP Next ve verzích ==20.2.0
• BIG-IP Next CNF ve verzích >=1.1.0 AND <=1.2.1
• BIG-IP Next SPK ve verzích (>=1.7.0 AND <=1.7.11) OR (>=1.8.0 AND <=1.9.2)

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Více informací:

• CVE-2025-41399 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
• CWE-404: Improper Resource Shutdown or Release at cwe.mitre.org

Zranitelnost byla veřejně oznámena 7. 5. 2025.

Neautentizovanému vzdálenému útočníkovi je prostřednictvím speciálně vytvořených HTTP požadavků zaslaných na virtuální server s aktivní volbou Enforce RFC Compliance v HTTP profilu na systémech BIG-IP, BIG-IP Next SPK a BIG-IP Next CNF umožněno vykonat útok DoS. Není-li možná okamžitá aktualizace na opravenou verzi, lze dopad zranitelnosti dočasně mitigovat nasazením systému v režimu vysoké dostupnosti (HA). Detailní informace ke zranitelnosti i dočasné opravě jsou k dispozici na [6].

Zranitelnost se nachází v produktech:

• BIG-IP ve verzích (>=16.1.0 AND <=16.1.4) OR (>=17.1.0 AND <=17.1.1)
• BIG-IP Next CNF ve verzích >=1.1.0 AND <=1.3.3
• BIG-IP Next SPK ve verzích (>=1.7.0 AND <=1.7.8) OR (>=1.8.0 AND <=1.9.2)

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Více informací:

• CVE-2025-36557 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
• CWE-120: Buffer Copy without Checking Size of Input ('Classic Buffer Overflow') at cwe.mitre.org

Zranitelnost byla veřejně oznámena 7. 5. 2025.

Neautentizovanému vzdálenému útočníkovi je prostřednictvím speciálně vytvořených odpovědí zaslaných na virtuální server s aktivním HTTP/2 profilem typu httprouter na systémech BIG-IP, BIG-IP Next, BIG-IP Next CNF a BIG-IP Next SPK umožněno vykonat útok DoS. Není-li možná okamžitá aktualizace na opravenou verzi, lze dopad zranitelnosti dočasně mitigovat nasazením systému v režimu vysoké dostupnosti (HA). Detailní informace ke zranitelnosti i dočasné opravě jsou k dispozici na [7].

Zranitelnost se nachází v produktech:

• BIG-IP ve verzích (>=16.1.0 AND <=16.1.5) OR (>=17.1.0 AND <=17.1.1)
• BIG-IP Next ve verzích >=20.2.0 AND <=20.2.1
• BIG-IP Next CNF ve verzích >=1.1.0 AND <=1.4.1
• BIG-IP Next SPK ve verzích >=1.7.0 AND <=1.9.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Více informací:

• CVE-2025-36504 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
• CWE-770: Allocation of Resources Without Limits or Throttling at cwe.mitre.org

Zranitelnost byla veřejně oznámena 7. 5. 2025.