更新時間：2022/05/12 09:25:51
發佈時間：2022/05/12 09:25:51
TLP：
(White)
得對外公開散布，但不得違反著作權法等相關規定
更新說明：
一、漏洞說明[1]
iControl REST 為 F5 iControl框架利用 REpresentational State Transfer (REST) 機制的演化版本，可讓使用者或腳本與 F5 設備之間的存取更加迅速與輕量化。未經身分驗證的攻擊者可利用此漏洞透過管理通訊埠或 Self IP address，自遠端執行系統命令、新增或刪除文件、停用服務等。
二、已揭露攻擊程式碼說明[2]
Twitter已有關於此漏洞之攻擊程式碼。
三、影響平台
BIG-IP系列
版本：16.1.0 - 16.1.2
15.1.0 - 15.1.5
14.1.0 - 14.1.4
13.1.0 - 13.1.4
12.1.0 - 12.1.6
11.6.1 - 11.6.5
四、CVSS向量: CVE-2022-1388
使用版本：CVSS 3.0
分析分數：9.8
影響等級:3
參考來源: F5
五、建議措施：
1.F5已於官網發布更新[1]，建議評估後升級至最新版本。
(1)17.x>17.0.0
(2)16.x>16.1.2.2
(3)15.x>15.1.5.1
(4)14.x>14.1.4.6
(5)13.x>13.1.5
(6)12.x>將不會修補
(7)11.x>將不會修補
2.若無法升級至最新版本，或所使用之版本官方未提供更新，請參考官方提供之緩解措施，並評估相關影響後執行：
(1)禁止透過 Self IP address 執行 iControl REST 存取：
建議進行風險評估，若無利用Self IP address之需求，可禁止所有以Self IP address對 BIG-IP 系統內 iControl REST 介面的存取動作。
(2)禁止透過管理介面執行 iControl REST 存取：
建議應透過安全的網路將管理介面設定為僅限於受信任的用戶及設備才能存取。
(3)修改 BIG-IP 系統的 httpd 設定：
請參閱官方資訊，依各版本所對應的設定方式進行調整。
六、參考資訊：
1. F5
https://support.f5.com/csp/article/K23605346
2. Twitter
https://twitter.com/momika233/status/1523578889691607040/photo/1
建議措施：
參考資料：
影響平台：
情資編號：
FISAC-202205-0004
系統目錄：
資安漏洞
資安類別：
資安訊息情資 / 其他
影響等級：
3
關鍵字：
弱點漏洞