Podatność CVE-2014-2927
Publikacja: 2014-10-15

Opis:
The rsync daemon in F5 BIG-IP 11.6 before 11.6.0, 11.5.1 before HF3, 11.5.0 before HF4, 11.4.1 before HF4, 11.4.0 before HF7, 11.3.0 before HF9, and 11.2.1 before HF11 and Enterprise Manager 3.x before 3.1.1 HF2, when configured in failover mode, does not require authentication, which allows remote attackers to read or write to arbitrary files via a cmi request to the ConfigSync IP address.

Typ:

CWE-287

 (Improper Authentication)

CVSS2 => (AV:N/AC:M/Au:N/C:C/I:C/A:C)

Ogólna skala CVSS
Znaczenie
Łatwość wykorzystania
9.3/10
10/10
8.6/10
Wymagany dostęp
Złożoność ataku
Autoryzacja
Zdalny
Średnia
Nie wymagana
Wpływ na poufność
Wpływ na integralność
Wpływ na dostępność
Pełny
Pełny
Pełny
Affected software
F5 -> Big-iq cloud 
F5 -> Big-ip 
F5 -> Big-iq device 
F5 -> ARX 
F5 -> Big-iq security 
F5 -> Big-ip access policy manager 
F5 -> Enterprise manager 
F5 -> Big-ip advanced firewall manager 
F5 -> Firepass 
F5 -> Big-ip analytics 
F5 -> Big-ip application acceleration manager 
F5 -> Big-ip application security manager 
F5 -> Big-ip edge gateway 
F5 -> Big-ip global traffic manager 
F5 -> Big-ip link controller 
F5 -> Big-ip local traffic manager 
F5 -> Big-ip policy enforcement manager 
F5 -> Big-ip protocol security module 
F5 -> Big-ip wan optimization manager 
F5 -> Big-ip webaccelerator 

 Referencje:
https://support.f5.com/kb/en-us/solutions/public/15000/200/sol15236.html
http://www.security-assessment.com/files/documents/advisory/F5_Unauthenticated_rsync_access_to_Remote_Root_Code_Execution.pdf
http://www.exploit-db.com/exploits/34465
Copyright 2024, cxsecurity.com

 

Back to Top