Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-863
  • CWE-918

CVE-2021-22986

F5 BIG-IP ve BIG-IQ iControl REST arayüzünde kimlik doğrulamasız uzaktan komut çalıştırma

BIG-IP; BIG-IQ

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
2037 gün
Kaydı açan
f5
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Kas 2021 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 17 Kas 2021. Fidye yazılımı saldırılarında da kullanılmış.

Yönetici özeti

Şirketin trafik yönetimi için kullandığı F5 BIG-IP ve BIG-IQ cihazları, giriş yapmadan uzaktan ele geçirilebilir durumda. Açık aktif olarak istismar edildiği için yama gecikmeden uygulanmalıdır. Başarılı bir saldırı hizmet kesintisine ve cihazdan geçen verilerin ele geçirilmesine yol açabilir.

ÖzetTürkçe

F5 BIG-IP ve BIG-IQ Centralized Management ürünlerinin iControl REST arayüzünde, kimlik doğrulaması gerektirmeden uzaktan komut çalıştırmaya izin veren kritik bir açık bulunuyor. Etkilenen sürümler BIG-IP 16.0.x (16.0.1.1 öncesi), 15.1.x (15.1.2.1 öncesi), 14.1.x (14.1.4 öncesi), 13.1.x (13.1.3.6 öncesi) ve 12.1.x (12.1.5.3 öncesi) ile BIG-IQ 7.1.0.x (7.1.0.3 öncesi) ve 7.0.0.x (7.0.0.2 öncesi) sürümleridir. Yazılım geliştirme desteği sona ermiş (EoSD) sürümler değerlendirilmemiştir. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer almaktadır.

Saldırgan ne yapabilir?

Kimliği doğrulanmamış bir saldırgan ağ üzerinden cihaz üzerinde yetkili komutlar çalıştırarak sistemin gizlilik, bütünlük ve erişilebilirliğini tamamen ele geçirebilir.

Kaynaktaki açıklama (İngilizce)

On BIG-IP versions 16.0.x before 16.0.1.1, 15.1.x before 15.1.2.1, 14.1.x before 14.1.4, 13.1.x before 13.1.3.6, and 12.1.x before 12.1.5.3 amd BIG-IQ 7.1.0.x before 7.1.0.3 and 7.0.0.x before 7.0.0.2, the iControl REST interface has an unauthenticated remote command execution vulnerability. Note: Software versions which have reached End of Software Development (EoSD) are not evaluated.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Cihazı düzeltilmiş sürüme yükseltin: BIG-IP için 16.0.1.1, 15.1.2.1, 14.1.4, 13.1.3.6 veya 12.1.5.3 (ya da daha yenisi); BIG-IQ için 7.1.0.3 veya 7.0.0.2 (ya da daha yenisi). Genel öneri
  2. Üretici talimatlarına uygun şekilde güncellemeleri uygulayın. CISA
  3. Güncelleme hemen yapılamıyorsa iControl REST arayüzüne erişimi yalnızca güvenilir yönetim ağlarıyla sınırlayın ve arayüzü internete açmayın. Genel öneri
  4. Desteği sona ermiş (EoSD) bir sürüm kullanıyorsanız desteklenen bir sürüme geçiş planlayın. Genel öneri

Ek önlemler

  • BIG-IP ve BIG-IQ yönetim arayüzlerini ayrı bir yönetim ağında tutun ve güvenlik duvarı ile erişimi kısıtlayın. Genel öneri
  • Cihazlarda beklenmeyen yapılandırma değişiklikleri, yeni hesaplar ve şüpheli komut çalıştırma izlerini kontrol edin; açık duyurulmadan önce istismar edilmiş olabilir. Genel öneri
  • Yönetim arayüzüne yapılan istekleri günlükleyin ve olağan dışı erişimler için uyarı oluşturun. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
BIG-IP; BIG-IQ Sürüm belirtilmemiş –

Kaynaklar5 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.