其他
F5 多款产品中存在多个RCE漏洞
编译：代码卫士
Rapid7公司在8月中旬将研究成果告知F5，并在F5发布安全公告通知用户并推出工程热补丁之时，发布了相关漏洞详情。
研究人员指出，其中两个漏洞是高危漏洞并已获得CVE编号（CVE-2022-41622和CVE-2022-41800），而F5认为其余的安全绕过方法并非漏洞。
最严重的漏洞是CVE-2022-41622，它是影响 BIG-IP和BIG-IQ产品的一个跨站点请求伪造 (CSRF)漏洞，可导致远程未认证攻击者获得对设备管理接口的根访问权限，即使该接口并未暴露给互联网也不例外。
然而，漏洞利用要求攻击者具备一些目标网络知识，并需要说服已登录管理员访问专用于利用该漏洞的恶意网站。F5指出，“如遭利用，该漏洞可攻陷整个系统。”
第二个漏洞CVE-2022-41800，可导致具有管理员权限的攻击者通过RPM 标准文件执行任意shell命令。
另外，Rapid7 还发现多个安全问题，包括通过恶意Unix套接字权限提升本地权限以及两个SELinux 绕过方法等。该公司认为这些漏洞的利用遭广泛传播的可能性很低。然而，鉴于BIG-IP设备一直都是遭攻击的对象，因此F5客户不应忽视这些漏洞。
F5紧急修复严重的 BIG-IP 预认证 RCE 漏洞
速修复！严重的F5 BIG-IP 漏洞 PoC 已发布
F5 以6.7亿美金收购 NGINX
https://www.securityweek.com/remote-code-execution-vulnerabilities-found-f5-products
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。