【注意喚起】複数の BIG-IP 製品の脆弱性 (CVE-2020-5902) に関する注意喚起

複数の BIG-IP 製品の脆弱性 (CVE-2020-5902) に関する注意喚起がありました。

I. 概要
　2020年7月1日 (現地時間)、F5 Networks から複数の BIG-IP 製品の脆弱性(CVE-2020-5902) に関する
　情報が公開されました。脆弱性が悪用されると、認証されていない遠隔の第三者が、影響を受ける
　製品の Traffic Management User Interface (TMUI) 経由で、任意のコードを実行するなどの可能性
　があります。結果として、当該製品が侵害され、攻撃の踏み台などとして悪用される恐れがあります。
　詳細は、F5 Networks が提供する情報を確認してください。

　F5 Networks
　K52145254: TMUI RCE vulnerability CVE-2020-5902

　また、JPCERT/CC は、本脆弱性を実証したとするコードの情報や、本脆弱性の影響を受ける機器を
　探索するスキャン、脆弱性の悪用を試みたと推察される通信の情報を確認しています。影響を受ける
　製品を使用している場合は、速やかに対策を実施することを推奨いたします。

II. 対象
　対象となる製品およびバージョンは次のとおりです。詳細は、F5 Networks が提供する情報を確認
　してください。

　BIG-IP (LTM, AAM, AFM, Analytics, APM, ASM, DNS, FPS, GTM, Link Controller, PEM)
　 - 15系のバージョン 15.1.0 および 15.0.0
　 - 14系のバージョン 14.1.0 から 14.1.2 まで
　 - 13系のバージョン 13.1.0 から 13.1.3 まで
　 - 12系のバージョン 12.1.0 から 12.1.5 まで
　 - 11系のバージョン 11.6.1 から 11.6.5 まで

III. 対策
　F5 Networks から脆弱性を修正したバージョンが公開されています。十分なテストを実施の上、
　修正済みのバージョンを適用することをご検討ください。

　BIG-IP (LTM, AAM, AFM, Analytics, APM, ASM, DNS, FPS, GTM, Link Controller, PEM)
　 - 15.1.0.4
　 - 14.1.2.6
　 - 13.1.3.4
　 - 12.1.5.2
　 - 11.6.5.2

　また、脆弱性の影響を緩和する方法として、F5 Networks はアクセス制限などの回避策を提示
　しています。修正済みのバージョンの適用が難しい場合は、回避策の適用もご検討ください。

IV. 参考情報
　PT Security
　F5 fixes critical vulnerability discovered by Positive Technologies in BIG-IP application delivery controller

　SANS ISC InfoSec Forums
　CVE-2020-5902 F5 BIG-IP Exploitation Attempt