JVNDB-2014-005192

複数の F5 製品における任意のファイルを読まれる脆弱性

複数の F5 製品の Configuration ユーティリティには、複数箇所に XML エンティティインジェクションに関する処理に不備があるため、任意のファイルを読まれる、およびサービス運用妨害 (DoS) 状態にされる脆弱性が存在します。

補足情報 : CWE による脆弱性タイプは、CWE-611: Improper Restriction of XML External Entity Reference ('XXE') (XML 外部エンティティ参照の不適切な制限) と識別されています。
http://cwe.mitre.org/data/definitions/611.html

F5 Networks

• BIG-IP Access Policy Manager (APM) 11.0.0 から 11.6.0
• BIG-IP Access Policy Manager (APM) 10.1.0 から 10.2.4
• BIG-IP Advanced Firewall Manager (AFM) 11.3.0 から 11.6.0
• BIG-IP Analytics 11.0.0 から 11.6.0
• BIG-IP Application Acceleration Manager (AAM) 11.4.0 から 11.6.0
• BIG-IP Application Security Manager (ASM) 11.0.0 から 11.6.0
• BIG-IP Application Security Manager (ASM) 10.0.0 から 10.2.4
• BIG-IP Edge Gateway 11.0.0 から 11.3.0
• BIG-IP Edge Gateway 10.1.0 から 10.2.4
• BIG-IP Global Traffic Manager (GTM) 11.0.0 から 11.6.0
• BIG-IP Global Traffic Manager (GTM) 10.0.0 から 10.2.4
• BIG-IP Link Controller 11.0.0 から 11.6.0
• BIG-IP Link Controller 10.0.0 から 10.2.4
• BIG-IP Local Traffic Manager (LTM) 11.0.0 から 11.6.0
• BIG-IP Local Traffic Manager (LTM) 10.0.0 から 10.2.4
• BIG-IP Policy Enforcement Manager (PEM) 11.3.0 から 11.6.0
• BIG-IP Protocol Security Module (PSM) 11.0.0 から 11.4.1
• BIG-IP Protocol Security Module (PSM) 10.0.0 から 10.2.4
• BIG-IP WAN Optimization Manager (WOM) 11.0.0 から 11.3.0
• BIG-IP WAN Optimization Manager (WOM) 10.0.0 から 10.2.4
• BIG-IP WebAccelerator 11.0.0 から 11.3.0
• BIG-IP WebAccelerator 10.0.0 から 10.2.4
• Enterprise Manager 3.0.0 から 3.1.1
• Enterprise Manager 2.1.0 から 2.3.0

リモート認証されたユーザにより、任意のファイルを読まれる、およびサービス運用妨害 (DoS) 状態にされる可能性があります。

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

F5 Networks

• Security Advisory : SOL15605: XML Entity Injection vulnerabilities CVE-2014-6032 and CVE-2014-6033

1. その他(CWE-Other) [NVD評価]

1. CVE-2014-6032

1. National Vulnerability Database (NVD) : CVE-2014-6032

• [2014年11月05日]
    掲載
  [2015年12月02日]
    概要：内容を更新
    CWE による脆弱性タイプ一覧：内容を更新