Avis du CERT-FR

Json

Objet : Multiples vulnérabilités dans F5 BIG-IP

Gestion du document

Référence	CERTFR-2021-AVI-509
Titre	Multiples vulnérabilités dans F5 BIG-IP
Date de la première version	08 juillet 2021
Date de la dernière version	08 juillet 2021
Source(s)	Bulletin de sécurité F5 K15310332 du 17 décembre 2020 Bulletin de sécurité F5 K43470422 du 10 mars 2021 Bulletin de sécurité F5 K56142644 du 10 mars 2021

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Contournement de la politique de sécurité
Déni de service à distance

Systèmes affectés

BIG-IP (APM) versions 12.1.x et 11.6.x (F5 ne corrigera pas la vulnérabilité CVE-2020-27729 pour ces versions)
BIG-IP (LTM, AAM, Advanced WAF, AFM, Analytics, APM, ASM, DDHD, DNS, FPS, GTM, Link Controller, PEM, SSLO) versions antérieures à 11.6.5.3
BIG-IP (LTM, AAM, Advanced WAF, AFM, Analytics, APM, ASM, DDHD, DNS, FPS, GTM, Link Controller, PEM, SSLO) versions antérieures à 12.1.5.3 (cette version est affectée par une autre vulnérabilité, cf. l'avis éditeur)
BIG-IP (LTM, AAM, Advanced WAF, AFM, Analytics, APM, ASM, DDHD, DNS, FPS, GTM, Link Controller, PEM, SSLO) versions antérieures à 13.1.3.6
BIG-IP (LTM, AAM, Advanced WAF, AFM, Analytics, APM, ASM, DDHD, DNS, FPS, GTM, Link Controller, PEM, SSLO) versions antérieures à 14.1.3.1 (cette version est affectée par une autre vulnérabilité, cf. l'avis éditeur)
BIG-IP (LTM, AAM, Advanced WAF, AFM, Analytics, APM, ASM, DDHD, DNS, FPS, GTM, Link Controller, PEM, SSLO) versions antérieures à 15.1.2
BIG-IP (LTM, AAM, Advanced WAF, AFM, Analytics, APM, ASM, DDHD, DNS, FPS, GTM, Link Controller, PEM, SSLO) versions antérieures à 16.1.0

Résumé

De multiples vulnérabilités ont été découvertes dans F5 BIG-IP. Elles permettent à un attaquant de provoquer un déni de service à distance et un contournement de la politique de sécurité.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité F5 K15310332 du 17 décembre 2020
https://support.f5.com/csp/article/K15310332
Bulletin de sécurité F5 K43470422 du 10 mars 2021
https://support.f5.com/csp/article/K43470422
Bulletin de sécurité F5 K56142644 du 10 mars 2021
https://support.f5.com/csp/article/K56142644
Référence CVE CVE-2020-27729
https://www.cve.org/CVERecord?id=CVE-2020-27729
Référence CVE CVE-2021-22989
https://www.cve.org/CVERecord?id=CVE-2021-22989
Référence CVE CVE-2021-23003
https://www.cve.org/CVERecord?id=CVE-2021-23003

Gestion détaillée du document

Date	Description
08 juillet 2021	Version initiale