- ひとことでF5 BIG-IP と BIG-IQ の管理用の仕組みに、ログインなしで命令を実行される弱点
- 深刻度9.8 緊急CVSS v3.1
- まずやること使っている BIG-IP と BIG-IQ のバージョンを確かめる
基本情報（データから表示）
| CVE番号 | CVE-2021-22986 |
|---|---|
| 製品 | F5 BIG-IP and BIG-IQ Centralized Management |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2021-11-03 |
| 米国政府機関の対応期限 | 2021-11-17 |
| ランサムウェアでの悪用 | 悪用が確認されている |
| 弱点の種類（CWE） | CWE-863（誤った認可） |
何が起きた
F5 の BIG-IP と BIG-IQ Centralized Management の、iControl REST という管理用の仕組みに弱点が見つかり、実際の攻撃に使われていることが確認されています。CISA によると、ネットワークでつながる攻撃者が、ログインせずにシステムの命令を実行したり、ファイルを作成・削除したり、サービスを止めたりできます。NVD の評価では、ネットワーク経由で、ログイン不要、利用者の操作も不要で悪用できます。CISA によると、ランサムウェアの攻撃にも使われたことが分かっています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
CVE の記録によると、BIG-IP の 16.0.x（16.0.1.1 より前）、15.1.x（15.1.2.1 より前）、14.1.x（14.1.4 より前）、13.1.x（13.1.3.6 より前）、12.1.x（12.1.5.3 より前）と、BIG-IQ の 7.1.0.x（7.1.0.3 より前）、7.0.0.x（7.0.0.2 より前）が対象です。開発が終わった版（EoSD）は評価されていません。
何をすればいい
BIG-IP は 16.0.1.1、15.1.2.1、14.1.4、13.1.3.6、12.1.5.3 以降、BIG-IQ は 7.1.0.3、7.0.0.2 以降に更新されているか確かめてください。詳しくは F5 の公式の案内を確認してください。
やることチェックリスト
- 使っている BIG-IP と BIG-IQ のバージョンを確かめる
- BIG-IP を 16.0.1.1 など各系列の修正版に更新する
- BIG-IQ を 7.1.0.3 か 7.0.0.2 以降に更新する
用語メモ
- iControl REST
- BIG-IP などを、ネットワーク越しにプログラムから設定・操作するための仕組みです。
- EoSD
- End of Software Development の略で、メーカーがその版の開発（修正）を終えた状態のことです。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
F5 BIG-IP and BIG-IQ Centralized Management iControl REST Remote Code Execution Vulnerability
概要
F5 BIG-IP and BIG-IQ Centralized Management contain a remote code execution vulnerability in the iControl REST interface that allows unauthenticated attackers with network access to execute system commands, create or delete files, and disable services.
推奨対応
Apply updates per vendor instructions.
この元データの出どころ: CISA KEV カタログで見る