AFMとPEMサブスクライバー管理用の公開されていないTMUIページは、蓄積型クロスサイトスクリプティング（XSS）の問題に対して脆弱です。これはコントロールプレーンの問題であり、データプレーンからはアクセスできません。この攻撃では、悪意のあるリソース管理者がXSSを保存する必要があります。（CVE-2019-6639）影響：リソース管理者権限を持つ悪意のある認証されたユーザーがこの脆弱性を悪用して、管理者権限を持つ別のユーザーにシステムコマンドの実行を許可する可能性があります。BIG-IPシステムがアプライアンスモードで動作する場合、脆弱性は引き続き存在します。ただし、アプライアンスモードではAdvanced Shell（bash）アクセスが無効になるため、攻撃者は任意のシステムコマンドを強制することはできません。アプライアンスモードがない場合は、この脆弱性が悪用されたときに任意のコマンドの実行が可能性になります。この問題はコントロールプレーンのみに存在し、データプレーンからはアクセスできません。この攻撃では、リソース管理者権限を持つ悪意のある認証されたユーザーがXSSを保存する必要があります。

検出

F5 Networks BIG-IP：BIG-IP AFMとPEM TMUI XSSの脆弱性（K61002104）

medium Nessus プラグイン ID 126404

バージョン 1.3