JVNDB-2014-002461

複数の F5 BIG-IP シリーズおよび BIG-IQ ファミリ製品の iControl API における任意のコマンドを実行される脆弱性

複数の F5 BIG-IP シリーズおよび BIG-IQ ファミリ製品の iControl API には、任意のコマンドを実行される脆弱性が存在します。

補足情報 : CWE による脆弱性タイプは、CWE-77: Improper Neutralization of Special Elements used in a Command (コマンドインジェクション) と識別されています。
http://cwe.mitre.org/data/definitions/77.html

F5 Networks

• BIG-IP Access Policy Manager (APM) 10.1.0 から 10.2.4
• BIG-IP Access Policy Manager (APM) 11.0.0 から 11.5.1
• BIG-IP Advanced Firewall Manager (AFM) 11.3.0 から 11.5.1
• BIG-IP Analytics 11.0.0 から 11.5.1
• BIG-IP Application Acceleration Manager (AAM) 11.4.0 から 11.5.1
• BIG-IP Application Security Manager (ASM) 10.0.0 から 10.2.4
• BIG-IP Application Security Manager (ASM) 11.0.0 から 11.5.1
• BIG-IP Edge Gateway 10.1.0 から 10.2.4
• BIG-IP Edge Gateway 11.0.0 から 11.3.0
• BIG-IP Global Traffic Manager (GTM) 10.0.0 から 10.2.4
• BIG-IP Global Traffic Manager (GTM) 11.0.0 から 11.5.1
• BIG-IP Link Controller 10.0.0 から 10.2.4
• BIG-IP Link Controller 11.0.0 から 11.5.1
• BIG-IP Local Traffic Manager (LTM) 10.0.0 から 10.2.4
• BIG-IP Local Traffic Manager (LTM) 11.0.0 から 11.5.1
• BIG-IP Policy Enforcement Manager (PEM) 11.3.0 から 11.5.1
• BIG-IP Protocol Security Module (PSM) 10.0.0 から 10.2.4
• BIG-IP Protocol Security Module (PSM) 11.0.0 から 11.4.1
• BIG-IP WAN Optimization Manager (WOM) 10.0.0 から 10.2.4
• BIG-IP WAN Optimization Manager (WOM) 11.0.0 から 11.3.0
• BIG-IP WebAccelerator 10.0.0 から 10.2.4
• BIG-IP WebAccelerator 11.0.0 から 11.3.0
• BIG-IQ Cloud 4.0.0 から 4.3.0
• BIG-IQ Device 4.2.0 から 4.3.0
• BIG-IQ Security 4.0.0 から 4.3.0
• Enterprise Manager 2.1.0 から 2.3.0
• Enterprise Manager 3.0.0 から 3.1.1

リモートの管理者により、SOAP リクエストのホスト名の要素内のシェルのメタ文字を介して、任意のコマンドを実行される可能性があります。

ベンダ情報および参考情報を参照して適切な対策を実施してください。

F5 Networks

• Security Advisory : SOL15220: iControl vulnerability CVE-2014-2928

1. その他(CWE-Other) [NVD評価]

1. CVE-2014-2928

1. National Vulnerability Database (NVD) : CVE-2014-2928
2. 関連文書 : Moar F5 fun in iControl API

• [2014年05月14日]
    掲載