Vulnerabilidades

En F5 BIG-IP versiones 15.1.x anteriores a 15.1.5.1, las versiones 14.1.x anteriores a 14.1.4.6, las versiones 13.1.x anteriores a 13.1.5 y todas las versiones de 12.1.x y 11.6.x, y F5 BIG-IQ Centralized Management todas las versiones de 8. x y 7.x, cuando es configurado una autodirección IPv6 y es habilitada la clave…

En F5 BIG-IP versiones 16.1.x anteriores a 16.1.2.2, las versiones 15.1.x anteriores a 15.1.5.1, las versiones 14.1.x anteriores a 14.1.4.6, las versiones 13.1.x anteriores a 13.1.5, y todas las versiones de 12.1.x y 11.6 x, y F5 BIG-IQ Centralized Management todas las versiones de 8.x y 7.x, un atacante autenticado y…

En BIG-IP versiones 16.1.x anteriores a 16.1.2.1, 15.1.x anteriores a 15.1.5, 14.1.x anteriores a 14.1.4.5, y todas las versiones de 13.1.x y 12.1.x, y BIG-IQ todas las versiones de 8.x y 7.x, las peticiones no reveladas por un usuario autenticado de iControl REST pueden causar un aumento en el uso de recursos de…

En BIG-IQ Centralized Management versiones 8.x anteriores a 8.1.0, un usuario con rol administrativo autenticado en un dispositivo BIG-IP administrado por BIG-IQ puede acceder a otros dispositivos BIG-IP administrados por el mismo sistema BIG-IQ. Nota: Las versiones de software que han alcanzado el Fin de Soporte…

El Protocolo de Acuerdo de Claves Diffie-Hellman permite a atacantes remotos (del lado del cliente) enviar números arbitrarios que en realidad no son claves públicas, y desencadenar costosos cálculos de exponenciación modular DHE del lado del servidor, también se conoce como un ataque D(HE)ater. El cliente necesita…

BIG-IP versiones 16.0.x anteriores a 16.0.1.2, versiones 15.1.x anteriores a 15.1.3, versiones 14.1.x anteriores a 14.1.4.2, versiones 13.1.x anteriores a 13.1.4.1 y todas las versiones de 12.1.x y la 11.6.x y todas las versiones de BIG-IQ 8.x, 7.x y 6.x son vulnerables a ataques de tipo cross-site request forgery…

En la versión 8.0.x anterior a 8.0.0.1, y en todas las versiones 6.x y 7.x, la utilidad BIG-IQ Configuration tiene una vulnerabilidad de ejecución de comandos remotos autenticados en páginas no reveladas. Nota: Las versiones de software que han alcanzado el fin del soporte técnico (EoTS) no se evalúan

En todas las versiones 7.x y 6.x (corregidas en la versión 8.0.0), las páginas de BIG-IQ no reveladas presentan una vulnerabilidad de tipo cross-site scripting reflejado. Nota: No se evalúan las versiones de software que han alcanzado End of Software Development (EoSD).

En todas las versiones 7.x y 6.x (corregidas en la versión 8.0.0), cuando se utiliza un dispositivo Quorum para alta disponibilidad (HA) de BIG-IQ para la conmutación automática por error, BIG-IQ no utiliza Transport Layer Security (TLS) con el protocolo Corosync. Nota: No se evalúan las versiones de software que…

En todas las versiones 7.x y 6.x (corregidas en 8.0.0), el servicio BIG-IQ HA ElasticSearch no implementa ninguna forma de autenticación para los servicios de transporte de clustering, y todos los datos utilizados por ElasticSearch para el transporte están sin cifrar. Nota: No se evalúan las versiones de software…

En todas las versiones 7.x (corregidas en 8.0.0), cuando se configura para la conmutación automática por error, un miembro del clúster BIG-IQ Data Collection Device (DCD) que recibe un mensaje no revelado puede hacer que el proceso de corosync se anule. Este comportamiento puede conducir a una denegación de…

En todas las versiones 7.x y 6.x (corregidas en versión 8.0.0), la alta disponibilidad (HA) de BIG-IQ cuando se usa un dispositivo Quorum para la conmutación automática por error no implementa ninguna forma de autenticación con el demonio Corosync. Nota: No se evalúan las versiones de software que han alcanzado…

En BIG-IP versiones 16.0.x anteriores a 16.0.1.1, versiones 15.1.x anteriores a 15.1.2.1, versiones 14.1.x anteriores a 14.1.4, versiones 13.1.x anteriores a 13.1.3.6 y versiones 12.1.x anteriores a 12.1.5.3 y BIG-IQ versiones 7.1 .0.x anteriores a 7.1.0.3 y versiones 7.0.0.x anteriores a 7.0.0.2, la interfaz REST de…

En BIG-IP versiones 16.0.x anteriores a 16.0.1.1, versiones 15.1.x anteriores a 15.1.2, versiones 14.1.x anteriores a 14.1.3.1 y versiones 13.1.x anteriores a 13.1.3.6 y todas las versiones de BIG-IQ 7.x y 6. x, un atacante autenticado con acceso a iControl REST a través del plano de control puede ser capaz de tomar…

En BIG-IQ versión 7.1.0, el acceso a los eventos de DoS Summary y las páginas de DNS Overview en la interfaz del sistema BIG-IQ devuelve un mensaje de error debido a que el proxy inverso de Grafana está desactivado en la configuración del servicio web. F5 ha hecho un examen más detallado de esta vulnerabilidad y la ha…

En BIG-IP versiones 15.0.0-15.1.0.4, 14.1.0-14.1.2.7, 13.1.0-13.1.3.3, 12.1.0-12.1.5.2 y 11.6.1-11.6.5.2 y BIG-IQ 5.2. 0-7.1.0, los atacantes no autenticados pueden causar la interrupción del servicio por medio de métodos no revelados

En BIG-IP versiones 15.0.0-15.1.0.4, 14.1.0-14.1.2.6, 13.1.0-13.1.3.3, 12.1.0-12.1.5.1 y 11.6.1-11.6.5.1 y BIG-IQ versiones 5.4.0-7.0.0, una omisión del bloqueo de puerto Self-IP por medio de direcciones link-local IPv6

En BIG-IP versiones 15.1.0-15.1.0.4, 15.0.0-15.0.1.3, 14.1.0-14.1.2.3, 13.1.0-13.1.3.4, 12.1.0-12.1.5.1 y 11.6.1- 11.6.5.2 y BIG-IQ versiones 5.2.0-7.0.0, los servidores host OpenSSH usan claves de menos de 2048 bits que ya no son consideradas seguras

En BIG-IP versiones 15.0.0 hasta 15.0.1, 14.1.0 hasta 14.1.2.3, 13.1.0 hasta 13.1.3.3 y 12.1.0 hasta 12.1.5.1 y BIG-IQ versiones 5.2.0 hasta 7.1.0, al crear un QKView, las credenciales para vincular a los servidores de LDAP utilizados para una autenticación remota de la interfaz administrativa de BIG-IP no se…

En BIG-IP versiones 15.0.0 hasta 15.0.1, 14.1.0 hasta 14.1.2.3, 13.1.0 hasta 13.1.3.1, 12.1.0 hasta 12.1.5 y 11.6.1 hasta 11.6.5 y BIG-IQ versiones 5.2.0 hasta 7.1.0, un usuario asociado con el rol de Administrador de Recursos que posee acceso a la utilidad secure copy (scp) pero no posee acceso a Advanced Shell…

En BIG -IQ versiones 5.2.0-7.0.0, los mecanismos de sincronización de alta disponibilidad (HA) no usan ninguna forma de autenticación para conectarse con el peer.

En BIG -IQ versiones 5.2.0-7.0.0, la sincronización de alta disponibilidad (HA) no es segura por TLS y puede permitir a atacantes sobre la ruta leer y modificar datos confidenciales en tránsito.

En BIG-IQ versión 6.0.0-7.0.0, se ha descubierto una vulnerabilidad de acceso remoto que puede permitir a un usuario remoto ejecutar comandos de shell en los sistemas afectados usando peticiones HTTP en la interfaz de usuario de BIG-IQ.

En BIG-IP versiones 15.0.0-15.1.0.2, 14.1.0-14.1.2.3, 13.1.0-13.1.3.2, 12.1.0-12.1.5.1 y 11.5.2-11.6.5.1 y BIG-IQ versiones 7.0. 0, 6.0.0-6.1.0 y 5.2.0-5.4.0, en un failover de red de High Availability (HA) en Device Service Cluster (DSC), el servicio failover no requiere una forma fuerte de autenticación y el trafico…

En BIG-IP versiones 15.0.0-15.0.1.2, 14.1.0-14.1.2.2, 13.1.0-13.1.3.2, 12.1.0-12.1.5 y 11.5.2-11.6.5.1 y BIG-IQ versiones 7.0. 0, 6.0.0-6.1.0 y 5.2.0-5.4.0, los usuarios con roles no administradores (por ejemplo, Guest o Resource Administrator) con acceso al shell tmsh pueden ejecutar comandos arbitrarios con…