Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-22

CVE-2020-5902

F5 BIG-IP TMUI arayüzünde kimlik doğrulamasız uzaktan kod çalıştırma açığı

BIG-IP

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
2310 gün
Kaydı açan
f5
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Kas 2021 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 3 May 2022. Fidye yazılımı saldırılarında da kullanılmış.

Yönetici özeti

Bu açık, ağ trafiğini yöneten BIG-IP cihazlarının tamamen ele geçirilmesine yol açabilir ve saldırganlar tarafından aktif olarak kullanılmaktadır. Giriş bilgisi gerekmediği için risk çok yüksektir. Güncellemenin gecikmeden uygulanması ve yönetim arayüzünün internetten erişime kapatılması gerekir.

ÖzetTürkçe

F5 BIG-IP ürününün Yapılandırma Yardımcı Programı olarak da bilinen Traffic Management User Interface (TMUI) bileşeninde, açıklanmayan sayfalarda uzaktan kod çalıştırma zafiyeti bulunuyor. Zafiyet dizin geçişi (CWE-22) kaynaklı olarak sınıflandırılmış olup kimlik doğrulaması ve kullanıcı etkileşimi gerektirmeden ağ üzerinden istismar edilebiliyor. Etkilenen sürümler 15.0.0-15.1.0.3, 14.1.0-14.1.2.5, 13.1.0-13.1.3.3, 12.1.0-12.1.5.1 ve 11.6.1-11.6.5.1 aralıklarındadır. Açık, CISA'nın bilinen istismar edilen zafiyetler (KEV) kataloğunda yer alıyor.

Saldırgan ne yapabilir?

Saldırgan, kimlik doğrulaması olmadan cihaz üzerinde yetkili işlemler yapabilir, kod çalıştırabilir ve cihazın gizlilik, bütünlük ve erişilebilirliğini tamamen tehlikeye atabilir.

Kaynaktaki açıklama (İngilizce)

In BIG-IP versions 15.0.0-15.1.0.3, 14.1.0-14.1.2.5, 13.1.0-13.1.3.3, 12.1.0-12.1.5.1, and 11.6.1-11.6.5.1, the Traffic Management User Interface (TMUI), also referred to as the Configuration utility, has a Remote Code Execution (RCE) vulnerability in undisclosed pages.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. BIG-IP cihazlarını F5'in yayımladığı düzeltilmiş sürümlere yükseltin; üretici talimatlarına göre güncellemeyi uygulayın. Genel öneri
  2. CISA'nın gerekliliği doğrultusunda güncellemeleri üretici talimatlarına uygun şekilde uygulayın. CISA
  3. Güncelleme hemen yapılamıyorsa TMUI/Yapılandırma Yardımcı Programı erişimini yalnızca güvenilir yönetim ağlarına ve gerekli IP adreslerine sınırlayın; internetten erişimi tamamen kapatın. Genel öneri
  4. Cihazların daha önce istismar edilip edilmediğini kontrol edin; şüpheli yapılandırma değişikliklerini, beklenmeyen kullanıcıları ve olağandışı dosyaları inceleyin. Genel öneri

Ek önlemler

  • BIG-IP yönetim arayüzünü (self IP ve management port) hiçbir zaman doğrudan internete açmayın; VPN veya ayrı bir yönetim ağı üzerinden erişim sağlayın. Genel öneri
  • Yönetim arayüzüne yönelik olağandışı HTTP isteklerini ve dizin geçişi denemelerini günlüklerde ve IDS/WAF üzerinde izleyin. Genel öneri
  • Şüpheli etkinlik tespit ederseniz cihaz kimlik bilgilerini ve anahtarlarını yenileyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
BIG-IP Sürüm belirtilmemiş –

Kaynaklar14 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.