F5 링크: https://my.f5.com/manage/s/article/K000133251
보안 권고 설명
2023년 5월 3일, F5는 다음과 같은 보안 문제를 발표했다. 이 문서는 F5 장치에 미치는 영향을 결정하는 데 도움이 되는 이러한
취약점과 보안 노출에 대한 개요 역할을 하기 위한 것입니다. 관련 기사에서 각 문제의 세부 사항을 찾을 수 있습니다.
분산 클라우드 및 관리 서비스
| 서비스 | 상태 |
| F5 분산 클라우드 서비스 | 영향을 미치지 않거나 해결됨 |
| 실버라인 | 영향을 미치지 않거나 해결됨 |
| 위협 스택 | 영향을 미치지 않거나 해결됨 |
High CVE
CVE | CVSS 점수 | 영향을 받은 제품 | 영향을 받는 버전1 | 도입된 수정 사항 |
8.1 | NGINX 인스턴스관리자 | 2.0.0 - 2.8.0 | 2.9.0 | |
NGINX API 연결관리자 | 1.0.0 - 1.4.1 | 1.5.0 | ||
NGINX 보안모니터링 | 1.0.0 - 1.2.0 | 1.3.0 | ||
7.5 | BIG-IP (모든 모듈) | 17.0.0 | 17.1.0 | |
7.5 | BIG-IP (모든 모듈) | 17.0.0 - 17.1.0 | 17.1.0.1 | |
K000132539: Windows 및 macOS 취약점용 BIG-IP Edge 클라이언트 CVE-2023-24461 | 7.4 | BIG-IP (APM) | 17.0.0 - 17.1.0 | 없음 |
BIG-IP APM 고객 | 7.2.1 - 7.2.4 | 7.2.4.1 | ||
7.2 | BIG-IP (DNS) | 17.0.0 - 17.1.0 | 17.1.0.1 | |
7.1 | NGINX 인스턴스관리자 | 2.0.0 - 2.8.0 | 2.9.0 | |
NGINX API 연결관리자 | 1.0.0 - 1.4.1 | 1.5.0 | ||
NGINX 보안모니터링 | 1.0.0 - 1.2.0 | 1.3.0 |
1 F5는 아직 수명 주기의 EoTS(기술 지원 종료) 단계에 도달하지 않은 소프트웨어 버전만 평가합니다.
Medium CVE
CVE | CVSS 점수 | 영향을 받은 제품 | 영향을 받는 버전1 | 도입된 수정 사항 |
K000132522: Windows 및 macOS용 BIG-IP Edge 클라이언트 취약점CVE-2023-22372 | 5.9 | BIG-IP (APM) | 17.0.0 - 17.1.0 | 없음 |
BIG-IP APM 고객 | 7.2.2 - 7.2.4 | 7.2.4.1 | ||
5.4 | BIG-IQ 중앙 집중식관리 | 8.0.0 - 8.2.0 | 8.3.0 | |
5.3 | BIG-IP (모든 모듈) | 16.1.2 | 17.0.0 | |
BIG-IP 다음 SPK | 1.5.0 | 1.6.0 | ||
4.3 | BIG-IP (모든 모듈) | 17.0.0 | 17.1.0 |
1 F5는 아직 수명 주기의 EoTS(기술 지원 종료) 단계에 도달하지 않은 소프트웨어 버전만 평가합니다.
CVE Link & WorkAround
| CVE | URL | Solution | WorkAround |
| CVE-2023-28656 | https://my.f5.com/manage/s/article/K000133417 | NGINX | 완전히 신뢰할 수 없는 사용자의 액세스 권한을 제거 |
| NGINX Management Suite 인증 오류로 인해 발생하는 인증 우회 취약점 | |||
| CVE-2023-29163 | https://my.f5.com/manage/s/article/K20145107 | BIG-IP | UDP 프로필에서 유휴 타임아웃을 0보다 큰 값으로 설정 |
| BIG-IP TMM(Traffic Management Microkernel) 등의 오류로 인해 발생하는 서비스 거부 취약점 | |||
| CVE-2023-27378 | https://my.f5.com/manage/s/article/K000132726 | BIG-IP | 해당 취약점을 완화시키는 방법은 GUI를 통한 설정 완료 후 로그아웃 후 브라우저를 닫는방법 / 동일한 웹브라우저에서 인터넷 검색과 같은 다른 용도로 사용하지 않는 방법 |
| BIG-IP 구성 유틸리티의 공개되지 않은 페이지의 오류로 인해 발생하는 Cross-Site Scripting (XSS) 취약점 | |||
| CVE-2023-24461 | https://my.f5.com/manage/s/article/K000132539 | BIG-IP Edge Client | BIG-IP Edge Client가 연결을 시도할 때, 신뢰할 수 있는 시스템에 연결하고 있는지 확인하고 진행하기 전에 팝업 경고를 검토 |
| BIG-IP Edge Client 오류로 인해 발생하는 MITM(man-in-the-middle) 취약점 | |||
| CVE-2023-28742 | https://my.f5.com/manage/s/article/K000132972 | BIG-IP DNS | 네트워크별 패킷필터 설정 / BIG-IP 방화벽(ACL) 규칙 설정 |
| BIG-IP 관리 포트 또는 자체 IP 주소를 통해 DNS iQuery 오류로 인해 발생하는 임의코드 실행 취약점 | |||
| CVE-2023-28724 | https://my.f5.com/manage/s/article/K000133233 | NGINX | 신뢰할 수 있는 사용자에 대한 접근을 제한하는 것입니다. |
| NGINX Management Suite 등의 오류로 인해 발생하는 정보 유출 취약점 | |||
| CVE-2023-22372 | https://my.f5.com/manage/s/article/K000132522 | BIG-IP Edge Client | None |
| CVE-2023-29240 | https://my.f5.com/manage/s/article/K000132719 | BIG-IQ | iControl REST 접근 차단 |
| BIG-IQ 시스템에서 뷰어 등의 오류로 인해 발생하는 파일 업로드 취약점 | |||
| CVE-2023-24594 | https://my.f5.com/manage/s/article/K000133132 | BIG-IP | None |
| CVE-2023-28406 | https://my.f5.com/manage/s/article/K000132768 | BIG-IP | 완전히 신뢰할 수 없는 사용자의 접근을 제거 / Web UI 접근에 대한 차단(ACL) 설정 |