漏洞详情
2021 年3月10日，F5官方发布安全通告，安全更新包含了影响F5的BIG-IP，BIG-IQ设备的多个高危漏洞，漏洞编号分别为CVE-2021-22986，CVE-2021-22987，CVE-2021-22988，CVE-2021-22989，CVE-2021-22990，CVE-2021-22991，CVE-2021-22992；
其中CVE-2021-22986为F5的 iControl REST下的未授权远程代码执行漏洞，漏洞评分9.8，评级严重，F5官方已发布上述漏洞的安全更新，建议受影响用户尽快升级到安全版本。
漏洞危害
CVE-2021-22986 | iControl REST 未授权远程代码执行漏洞
此漏洞允许未经身份验证的攻击者通过BIG-IP管理界面和self ip 对iControl REST接口进行网络访问，以执行任意系统命令，创建或删除文件以及禁用服务。设备模式下的BIG-IP系统也容易受到攻击。
CVE-2021-22987 | 流量管理用户界面（TMUI）授权远程代码执行漏洞
在设备模式下运行时，具有流量管理界面（TMUI）访问权限的远程攻击者可以通过BIG-IP管理端口或者self ip地址对TMUI界面进行网络访问，以执行任意系统命令，创建或删除文件或禁用服务。
CVE-2021-22988 | 流量管理用户界面（TMUI）授权远程代码执行漏洞
具有流量管理用户界面TMUI访问权限的远程攻击者可以通过BIG-IP管理端口或者self ip地址对TMUI界面进行网络访问，以执行任意系统命令，创建或删除文件或禁用服务。
CVE-2021-22989 | 高级WAF / ASM TMUI 授权远程命令执行漏洞
设备模式下，此漏洞允许具有管理员，资源管理员或应用程序安全管理员角色的高特权身份验证用户通过BIG-IP管理端口或self IP地址对配置实用程序进行网络访问，以执行任意系统命令，创建或删除文件，或禁用服务。
CVE-2021-22990 | 高级WAF / ASM TMUI身份验证的远程命令执行漏洞
此漏洞允许具有管理员，资源管理员或应用程序安全管理员角色的高特权身份验证用户通过BIG-IP管理端口或self IP地址对配置实用程序进行网络访问，以执行任意系统命令，创建或删除文件，或禁用服务。
CVE-2021-22991 | TMM 缓冲区溢出漏洞
流量管理微内核（TMM）URI错误地处理对virtual server(虚拟服务器)的未公开请求，将会触发缓冲区溢出，从而导致DoS攻击。在某些情况下，理论上可以允许绕过基于URL的访问控制或远程代码执行（RCE）。
CVE-2021-22992 | 高级WAF / ASM缓冲区溢出漏洞CVE-2021-22992
策略中配置了“登录页面”的高级WAF / ASM 虚拟服务器的恶意HTTP响应可能会触发缓冲区溢出，从而导致DoS攻击。在某些情况下，允许远程执行代码（RCE），该漏洞需要攻击者具有对后端Web服务器（pool）的控制权，或具有操纵虚拟服务器的服务器端HTTP响应以利用此漏洞的能力。
影响范围
CVE-2021-22986:
影响版本：
BIG-IP:
16.0.0-16.0.1
15.1.0-15.1.2
14.1.0-14.1.3.1
13.1.0-13.1.3.5
12.1.0-12.1.5.2
BIG-IQ:
7.1.0-7.1.0.2
7.0.0-7.0.0.1
6.0.0-6.1.0
安全版本:
BIG-IP:
16.0.1.1
15.1.2.1
14.1.4
13.1.3.6
12.1.5.3
BIG-IQ:
8.0.0
7.1.0.3
7.0.0.2
CVE-2021-22987，CVE-2021-22988，CVE-2021-22989，CVE-2021-22990，CVE-2021-22991，CVE-2021-22992
影响版本
BIG-IP :
16.0.0-16.0.1
15.1.0-15.1.2
14.1.0-14.1.3.1
13.1.0-13.1.3.5
12.1.0-12.1.5.2
11.6.1-11.6.5.2
安全版本
16.0.1.1
15.1.2.1
14.1.4
13.1.3.6
12.1.5.3
11.6.5.3
修复方案：
F5官方已经发布了解决上述漏洞的安全更新，建议受影响用户尽快升级到上述修复漏洞安全版本:
CVE-2021-22986 安全版本:
BIG-IP 16.0.1.1
BIG-IP 15.1.2.1
BIG-IP 14.1.4
BIG-IP 13.1.3.6
BIG-IP 12.1.5.3
BIG-IQ 8.0.0
BIG-IQ 7.1.0.3
BIG-IQ 7.0.0.2
CVE-2021-22987，CVE-2021-22988，CVE-2021-22989，CVE-2021-22990，CVE-2021-22991，CVE-2021-22992 安全版本：
BIG-IP 16.0.1.1
BIG-IP 15.1.2.1
BIG-IP 14.1.4
BIG-IP 13.1.3.6
BIG-IP 12.1.5.3
BIG-IP 11.6.5.3
官方安全通告可以参考以下链接：