【缝隙公告】F5 BIG-IP肆意代码执行缝隙（CVE-2023-22374）
颁布功夫 2023-02-030x00 缝隙概述
CVE ID | CVE-2023-22374 | 发现功夫 | 2023-02-03 |
类 型 | 肆意代码执行 | 等 级 | 高危 |
远程利用 | 是 | 所需权限 | 低 |
攻击复杂度 | 高 | 用户交互 | 无 |
PoC/EXP | 在野利用 |
0x01 缝隙详情
F5 Networks是全球领域内利用交付网络（ADN）领域的驰名厂商，致力于援手全球大型企业和服务提供商实现虚构化、云推算和矫捷的IT业务服务。
2月1日，F5颁布安全布告，建复了BIG-IP中的一个肆意代码执行缝隙（CVE-2023-22374），其CVSSv3评分最高为8.5，目前该缝隙的细节已公开。
F5 BIG-IP iControl SOAP中存在体式化字符串缝隙，经过身份验证的用户能够通过 BIG-IP 治理端口或自身 IP 地址对 iControl SOAP 进行网络接见，从而在 iControl SOAP CGI 过程上造成回绝服务 (DoS) 或可能执行肆意系统号令或代码；在BIG-IP设备模式下，成功利用该缝隙可能导致逾越安全天堑。
影响领域
尺度部署模式、设备模式下的BIG-IP（所有� ？椋�
F5 BIG-IP 17.x：17.0.0
F5 BIG-IP 16.x：16.1.2.2 - 16.1.3
F5 BIG-IP 15.x：15.1.5.1 - 15.1.8
F5 BIG-IP 14.x：14.1.4.6 - 14.1.5
F5 BIG-IP 13.x：13.1.5
0x02 安全建议
目前该缝隙暂无可用补丁，但 F5 暗示能够使用工程建补法式（不保障可用性），可参考：
https://my.f5.com/manage/s/article/K4918
一时缓解措施：
l 遵循最佳实际来�；ざ訠IG-IP系统的治理接口和自身IP地址的接见，将有助于最大限度地削减攻击面。
l 对于 BIG-IP 系统，限度对系统的 iControl SOAP API 的接见，只允许受信赖的用户。若是不使用 iControl SOAP API，则能够通过将 iControl SOAP API 的允许列表设置为空列表来不容所有接见。为此，请执行以下操作：
1.通过输入以下号令登录到TMOS Shell（tmsh）。
tmsh
2.输入以下号令从允许的地址列表中删除所有IP地址或IP地址领域。
modify /sys icontrol-soap allow replace-all-with { }
3.通过输入以下号令来保留更改。
save /sys config
把稳：
阻止 iControl SOAP IP 地址将阻止将新设备增长到设备信赖。
BIG-IQ不受该缝隙影响。
0x03 参考链接
https://my.f5.com/manage/s/article/K000130415
https://www.rapid7.com/blog/post/2023/02/01/cve-2023-22374-f5-big-ip-format-string-vulnerability/
0x04 版本信息
版本 | 日期 | 批改内容 |
V1.0 | 2023-02-03 | 初次颁布 |
0x05 附录
GA黄金甲简介
GA黄金甲成立于1996年，是由留美博士严望佳女士创建的、占有齐全自主知识产权的信息安全高科技企业。是国内最具实力的信息安全产品、安全服务解决规划的领航企业之一。
公司总部位于北京市中关村软件园GA黄金甲大厦，公司员工6000余人，研发团队1200余人, 技术服务团队1300余人。在全国各省、视注自治区设立分支机构六十多个，占有覆盖全国的销售系统、渠路系统和技术支持系统。公司于2010年6月23日在深圳中幼板挂牌上市。（股票代码：002439）
多年来，GA黄金甲致力于提供拥有国际竞争力的自主创新的安全产品和最佳实际服务，援手客户全面提升其IT基础设施的安全性和出产效力，为打造和提升国际化的民族信息安全产业领军品牌而不懈致力。
关于GA黄金甲
GA黄金甲安全应急响应中心重要针对沉要安全缝隙的预警、跟踪和分享全球最新的威胁谍报和安全汇报。
关注以下公家号，获取全球最新安全资讯：
京公网安备11010802024551号