云安全日报201029:负载均衡厂商F5 BIG-IP发现拒绝服务漏洞,需要尽快升级

来源:TechWeb.com.cn2020-10-29 16:15:00

F5(F5 Networks)是全球领先的应用交付网络(ADN)领域的厂商。10月28日,F5 BIG-IP(负载均衡)多个产品发现重要漏洞,需要尽快升级。以下是漏洞详情:

漏洞详情

1.CVE-2020-5931 CVSS评分:7.5 高

来源:

https://support.f5.com/csp/article/K25400442

具有OneConnect(F5负载均衡设备中一种网络链接机制)配置文件的虚拟服务器可能无法正确处理WebSocket相关的HTTP响应头,导致流量管理微内核(TMM)重新启动。攻击者可以对Big-IP执行拒绝服务(DoS)攻击使TMM进程重新启动。

2.CVE-2020-5932 CVSS评分:6.4 高

来源:

https://support.f5.com/csp/article/K12002065

此漏洞允许经过身份验证的攻击者在另一个经过身份验证的BIG-IP ASM管理用户预览阻止页面响应正文时执行跨站点脚本(XSS)攻击。阻止页响应正文位于安全策略配置的“阻止和响应页”选项卡的“阻止页默认”部分。

3.CVE-2020-5933 CVSS评分:5.9 中

来源:

https://support.f5.com/csp/article/K26244025

此漏洞可能导致BIG-IP系统内存不足,从而导致拒绝服务(DoS)。

Slowloris攻击是一种针对线程化web服务器的DoS攻击。Slowloris攻击试图通过发送从未完成的HTTP请求来独占web服务器上所有可用的请求处理线程。因为每个请求都消耗一个线程,Slowloris攻击最终会消耗web服务器的所有连接容量,从而有效地拒绝合法用户的访问。

4.CVE-2020-5935 CVSS评分:5.9 中

来源:

https://support.f5.com/csp/article/K62830532

当系统通过与MQTT(Message Queuing Telemetry Transport,消息队列遥测传输协议,是一种基于发布/订阅(Publish/Subscribe)模式的轻量级通讯协议,该协议构建于TCP/IP协议上)概要文件相关联的BIG-IP虚拟服务器处理MQTT流量,并且iRule对该流量执行操作时,流量管理微内核(TMM)可能会生成一个核心文件并重新启动,从而导致高可用性故障转移事件。

5.CVE-2020-5938 CVSS评分:3.1 低

来源:

https://support.f5.com/csp/article/K76610106

当与配置的、经过身份验证的对等方协商IPsec隧道时,对等方可以协商一个不同于BIG-IP配置所允许的密钥长度。

可以使用与BIG-IP配置中指定的密钥长度不同的密钥长度来创建IPsec连接,这可能会导致连接的加密强度低于配置的加密强度,这样大大降低了可用性。

受影响产品

上述漏洞影响 BIG-IP 应用安全管理器ASM,APM 多个版本,流量管理器LTM,BIG-IQ Centralized Management云管理解决方案多个版本,信令交付管理器Traffix SDC(主要用于漫游服务和移动管理)等(具体可以参见官网)

解决方案

F5 Networks厂商已经发布了安全更新,具体可以访问官方网址进行升级修复。

查看更多漏洞信息 以及升级请访问官网:

https://support.f5.com/csp/bug-tracker

责任编辑:JayJay

标签: 云安全 漏洞 应用交付 F5公司

相关文章

要闻

原创

最新

取消