JVNDB-2012-006127

複数の F5 BIG-IP 製品の APM WebGUI および AVR WebGUI における SQL インジェクションの脆弱性

複数の F5 BIG-IP 製品の (1) APM WebGUI および (2) AVR WebGUI の sam/admin/reports/php/saveSettings.php には、SQL インジェクションの脆弱性が存在します。

F5 Networks

• BIG-IP Access Policy Manager (APM) 11.0.0 から 11.2.1 (APM WebGUI)
• BIG-IP Analytics 11.0.0 から 11.2.1 (APM WebGUI)
• BIG-IP Application Security Manager (ASM) 11.0.0 から 11.2.1 (APM WebGUI)
• BIG-IP Edge Gateway 11.0.0 から 11.2.1 (APM WebGUI)
• BIG-IP Global Traffic Manager (GTM) 11.0.0 から 11.2.1 (APM WebGUI)
• BIG-IP Link Controller 11.0.0 から 11.2.1 (APM WebGUI)
• BIG-IP Local Traffic Manager (LTM) 11.0.0 から 11.2.1 (APM WebGUI)
• BIG-IP Protocol Security Module (PSM) 11.0.0 から 11.2.1 (APM WebGUI)
• BIG-IP WAN Optimization Manager (WOM) 11.0.0 から 11.2.1 (AVR WebGUI)
• BIG-IP WebAccelerator 11.0.0 から 11.2.1 (AVR WebGUI)
• BIG-IP Access Policy Manager (スタンドアローン版) 11.0.0 から 11.2.1 (APM WebGUI)

バージョン 11.2.0 HF3、11.2.1 HF3、および 11.3.0 以上は、本脆弱性の影響を受けません。

リモート認証されたユーザにより、defaultQuery パラメータを介して、任意の SQL コマンドを実行される可能性があります。

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

F5 Networks

• Security Advisory : SOL14154: SQL injection vulnerability from an authenticated source CVE-2012-3000

1. SQLインジェクション(CWE-89) [NVD評価]

1. CVE-2012-3000

1. National Vulnerability Database (NVD) : CVE-2012-3000
2. 関連文書 : SEC Consult Vulnerability Lab Security Advisory < 20130122-1 >

• [2014年02月03日]
    掲載