F5 BIG-IP Configuration Utility のSQLインジェクションの脆弱性（CVE-2023-46748）

何が起きた

F5 の BIG-IP の設定画面 Configuration utility に、SQL インジェクションという弱点が見つかりました。ログイン済みの攻撃者が、管理用ポートや self IP アドレス経由で設定画面に接続できると、任意のシステムコマンドを実行できる可能性があります。この弱点は CVE-2023-46747 と組み合わせて使われることがあります。実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

BIG-IP を使い、設定画面（Configuration utility）に管理用ポートや self IP アドレスから接続できる状態の組織が対象です。F5 の勧告では、BIG-IP（全モジュール）の 17.1.0 から 17.1.1、16.1.0 から 16.1.4、15.1.0 から 15.1.10、14.1.0 から 14.1.5、13.1.0 から 13.1.5 が影響を受けます。BIG-IQ は影響を受けません。F5 は技術サポートが終わったバージョンを評価していません。

何をすればいい

F5 の勧告 K000137365 に従い、17.1.1.1、16.1.4.2、15.1.10.3 などの修正が入った版か、各系統向けのエンジニアリングホットフィックスに更新してください。F5 によると、ログインした利用者による攻撃のため、完全には信頼できない利用者のアクセスを外すことが唯一の緩和策です。更新までの一時的な対策として、self IP アドレスからの設定画面への接続を止め、管理用インターフェースには信頼できる利用者と機器だけが接続できるようにしてください。F5 は、/var/log/tomcat/catalina.out に「Column not found」に続いてシェルのコマンドが実行された記録があれば、攻撃の痕跡の可能性があるとしています。CVE-2023-46747 の対策もあわせて行ってください。

やることチェックリスト

• BIG-IPを修正済みの版かホットフィックスに更新する
• 信頼できない利用者のアクセスを外す
• catalina.outに攻撃の痕跡がないか調べる

用語メモ

SQL インジェクション

入力欄などに細工した文字を入れて、データベースへの命令を不正に書き換える攻撃です。

self IP アドレス

BIG-IP が通信のために自分自身に設定している IP アドレスのことです。

ホットフィックス

特定の不具合や弱点を直すために出される、小さな修正プログラムです。