F5 Networks BIG-IP：BIG-IP ASM XSSの脆弱性（K14812883）

medium Nessus プラグイン ID 123030

Language:

概要

リモートデバイスに、ベンダーが提供したセキュリティパッチがありません。

説明

これは、構成ユーティリティに表示されるASM違反の蓄積型クロスサイトスクリプティング（XSS）の脆弱性です。最悪の場合、攻撃者がCSRFを保存し、管理ユーザーとしてコードを実行する可能性があります。（CVE-2019-6607）この攻撃を保存できるユーザーレベルは、ASM管理者、リソース管理者、管理者です。ASM管理者はAdvanced Shellにアクセスできませんが、この欠陥を使用することによって、Advanced Shellアクセスを持つ管理者が、悪用コードをホストする特定のBIG-IP ASM構成ユーティリティページを参照するときにシェルコマンドを実行する攻撃を保存できます。非アプライアンスモードとアプライアンスモードのシステムではCSRFの保存が可能ですが、システムがアプライアンスモードで構成されている場合は、シェルが利用できないため、シェルコマンドは実行できません。影響：攻撃者は、BIG-IP ASM構成ユーティリティに悪意のあるスクリプトを挿入する可能性があります。さらに、攻撃者はBIG-IP ASM構成ユーティリティユーザーをだまして、悪意のあるコードを実行させる可能性があります。