F5(F5 Networks)作为全球抢先的运用交给网络（ADN）范畴的厂商,6月被曝出BIG-IP(负载均衡)中两个严峻缝隙,代号分别为CVE-2020-5902和CVE-2020-5903,使8000多台设备处于高度危险之中,政府,银行,云提供商,全球500强公司纷繁中招。

　　该缝隙是BIG-IP办理界面中称为“长途代码履行”缝隙，称为TMUI（流量办理用户界面)。未经身份验证的进犯者能够经过将歹意制造的HTTP恳求发送到保管用于BIG-IP装备的流量办理用户界面（TMUI）实用程序的易受进犯的服务器来长途运用此缝隙。

　　成功运用此缝隙或许使进犯者取得对该设备的彻底办理员操控，最终使他们无需任何授权就能够在受感染的设备上履行他们想要的任何使命。进犯者能够创立或删去文件，禁用服务，阻拦信息，履行恣意体系指令和Java代码，损坏整个体系，并采纳进一步的方针，如内部网络，在这种情况下，RCE是由多个组件中的安全缝隙导致的，例如答应目录遍历的组件。

　　该缝隙影响公司的BIG-IP产品。这些是能够用作Web流量整形体系，负载平衡器，防火墙，拜访网关，速率限制器或SSL中间件的多功能网络设备。BIP-IP是当今运用的最受欢迎的网络产品之一。它们被用于全球的政府网络，互联网服务提供商的网络，云核算数据中心内部以及整个企业网络中。BIG-IP设备中的RCE缝隙使政府，云提供商，ISP，银行和许多财富500强公司简单遭到侵略。

　　到2020年6月，现已确认有8,000多种设备直接在线％在加拿大和印度尼西亚，而且少于该安全公司说，在俄罗斯只要1％。大多数运用受影响产品的公司都无法拜访Internet的易受进犯的装备界面。

　　该XSS(跨站脚本进犯)缝隙或许使长途进犯者以登录的办理员用户身份运转歹意JavaScript代码。假如用户具有办理员特权并有权拜访Advanced Shell（bash），则成功运用该缝隙或许导致经过RCE彻底损坏BIG-IP。

　　无法当即更新的安排能够经过在httpd中增加LocationMatch装备元素并阻挠经过自我IP拜访其BIG-IP体系的TMUI 来缓解RCE缝隙。

　　每日头条、业界资讯、热门资讯、八卦爆料，全天盯梢微博播报。各种爆料、内情、花边、资讯一扫而光。百万互联网粉丝互动参加，TechWeb官方微博等待您的重视。

大鱼游戏网页