เมื่อวันที่ 10 มีนาคม 2564 ทาง F5 ได้ประกาศ CVE 21 รายการ ใน F5 Network Device BIG-IP (All Models), BIG-IQ, BIG-IP Advance WAF/ASM พบช่องโหว่ระดับปานกลางจนถึงขั้นวิกฤต (Critical) โดยช่องโหว่ระดับวิกฤตถูกพบถึง 4 ช่องโหว่ที่อาจจะนำไปสู่ความเสียหายที่จะทำให้ไม่สามารถใช้งานระบบหรืออุปกรณ์ได้ โดยช่องโหว่ระดับวิกฤตมีดังนี้
- CVE-2021-22986 คะแนน CVSS: 9.8 (วิกฤต!) ช่องโหว่นี้ทำให้ผู้โจมตีที่ไม่ได้รับการยืนยันตัวตนสามารถใช้งานคำสั่งที่อันตรายได้ ถูกพบใน iControl REST interface
- CVE-2021-22987 คะแนน CVSS: 9.9 (วิกฤต!) ช่องโหว่นี้เมื่อมีการใช้งาน Traffic Management UI (TMUI) บน Mode Application ผู้โจมตีที่ผ่านการยืนยันตัวตนแล้วสามารถสั่งใช้งานคำสั่งที่อันตรายได้
- CVE-2021-22991 คะแนน CVSS: 9.0 (วิกฤต!)ระบบ Traffic Management Microkernel (TMM) เกิดความผิดพลาดในการรับ request นำไปสู่ปัญหา Buffer overflow จนถึง Dos Attack ในที่สุด
- CVE-2021-2292 คะแนน CVSS: 9.0 (วิกฤต!) Advance WAF/BIG-IP ASM virtual server ในหน้า Login page มีช่องโหว่ หากได้รับ HTTP response ที่เป็นอันตรายส่งกลับมา ผลของมันสามารถทำให้เกิด Buffer overflow และนำไปสู่การ Dos Attack ในที่สุด
นอกจากนี้ยังพบช่องโหว่อื่นๆที่มีความอันตรายระดับสูงอีก 7 ช่องโหว่ และระดับปานกลางอีก 10 ช่องโหว่ด้วยกัน โดยผลกระทบคือทำให้ระบบโดนแทรกแทรง แก้ไขปรับแต่ง โดยไม่ได้รับอนุญาต รวมไปถึงไม่สามารถใช้งานระบบหรืออุปกรณ์ได้
การป้องกันและแก้ไข
ทำการอัปเดตแพทช์ให้เป็นเวอร์ชันล่าสุด โดยสามารถอ่านรายละเอียดช่องโหว่อื่นๆ และตรวจสอบเวอร์ชันที่ต้องป้องกันและแก้ไขได้ตามลิ้งค์นี้เลยนะคะ
https://support.f5.com/csp/article/K02566623
เอกสารอ้างอิง
