F5 링크: https://my.f5.com/manage/s/article/K000133251


보안 권고 설명

    2023년 5월 3일, F5는 다음과 같은 보안 문제를 발표했다. 이 문서는 F5 장치에 미치는 영향을 결정하는 데 도움이 되는 이러한 
   취약점과 보안 노출에 대한 개요 역할을 하기 위한 것입니다. 관련 기사에서 각 문제의 세부 사항을 찾을 수 있습니다.



분산 클라우드 및 관리 서비스

서비스상태
F5 분산 클라우드 서비스영향을 미치지 않거나 해결됨
실버라인영향을 미치지 않거나 해결됨
위협 스택영향을 미치지 않거나 해결됨



High CVE

CVE

CVSS 점수

영향을 받은 제품

영향을 받는 버전1

도입된 수정 사항

K000133417: NGINX 관리 스위트 취약점 CVE-2023-28656

8.1

NGINX 인스턴스관리자

2.0.0 - 2.8.0

2.9.0

NGINX API 연결관리자

1.0.0 - 1.4.1

1.5.0

NGINX 보안모니터링

1.0.0 - 1.2.0

1.3.0

K20145107: BIG-IP UDP 프로필 취약점 CVE-2023-29163

7.5

BIG-IP (모든 모듈)

17.0.0
16.1.2.2 - 16.1.3.3
15.1.5.1 - 15.1.8.1
14.1.4.6 - 14.1.5.3

17.1.0
16.1.3.4
15.1.8.2
14.1.5.4

K000132726: BIG-IP 구성 유틸리티 XSS 취약점 CVE-2023-27378

7.5

BIG-IP (모든 모듈)

17.0.0 - 17.1.0
16.1.0 - 16.1.3
15.1.0 - 15.1.8
14.1.0 - 14.1.5
13.1.0 - 13.1.5

17.1.0.1
16.1.3.4
15.1.8.2
14.1.5.4

K000132539: Windows 및 macOS 취약점용 BIG-IP Edge 클라이언트 CVE-2023-24461

7.4

BIG-IP (APM)

17.0.0 - 17.1.0
16.1.0 - 16.1.3
15.1.0 - 15.1.8
14.1.0 - 14.1.5
13.1.0 - 13.1.5

없음

BIG-IP APM 고객

7.2.1 - 7.2.4

7.2.4.1

K000132972: BIG-IP iQuery 메쉬 취약점 CVE-2023-28742

7.2

BIG-IP  (DNS)

17.0.0 - 17.1.0
16.1.0 - 16.1.3
15.1.0 - 15.1.8
14.1.0 - 14.1.5
13.1.0 - 13.1.5

17.1.0.1
16.1.3.4
15.1.8.2
14.1.5.4

K000133233: NGINX 관리 스위트 취약점 CVE-2023-28724

7.1

NGINX 인스턴스관리자

2.0.0 - 2.8.0
1.0.0 - 1.0.4

2.9.0

NGINX API 연결관리자

1.0.0 - 1.4.1

1.5.0

NGINX 보안모니터링

1.0.0 - 1.2.0

1.3.0

1 F5는 아직 수명 주기의 EoTS(기술 지원 종료) 단계에 도달하지 않은 소프트웨어 버전만 평가합니다.

Medium CVE

CVE

CVSS 점수

영향을 받은 제품

영향을 받는 버전1

도입된 수정 사항

K000132522: Windows 및 macOS용 BIG-IP Edge 클라이언트 취약점CVE-2023-22372

5.9

BIG-IP  (APM)

17.0.0 - 17.1.0
16.1.0 - 16.1.3
15.1.0 - 15.1.8
14.1.0 - 14.1.5
13.1.0 - 13.1.5

없음

BIG-IP APM 고객

7.2.2 - 7.2.4

7.2.4.1

K000132719: BIG-IQ iControl REST 취약점 CVE-2023-29240

5.4

BIG-IQ 중앙 집중식관리

8.0.0 - 8.2.0

8.3.0

K000133132: BIG-IP TMM SSL 취약점 CVE-2023-24594

5.3

BIG-IP (모든 모듈)

16.1.2
15.1.4.1
14.1.5

17.0.0
16.1.2.1
15.1.5

BIG-IP 다음 SPK

1.5.0

1.6.0

K000132768: BIG-IP 구성 유틸리티 취약점 CVE-2023-28406

4.3

BIG-IP (모든 모듈)

17.0.0
16.1.0 - 16.1.3
15.1.0 - 15.1.8
14.1.0 - 14.1.5
13.1.0 - 13.1.5

17.1.0
16.1.3.4
15.1.8.2
14.1.5.4

 1 F5는 아직 수명 주기의 EoTS(기술 지원 종료) 단계에 도달하지 않은 소프트웨어 버전만 평가합니다.


CVE Link & WorkAround

CVEURLSolution
WorkAround
CVE-2023-28656
https://my.f5.com/manage/s/article/K000133417
NGINX
완전히 신뢰할 수 없는
사용자의 액세스 권한을 제거
NGINX Management Suite 인증 오류로 인해 발생하는 인증 우회 취약점
CVE-2023-29163
https://my.f5.com/manage/s/article/K20145107
BIG-IP
UDP 프로필에서 유휴 타임아웃을 0보다 큰 값으로 설정
BIG-IP TMM(Traffic Management Microkernel) 등의 오류로 인해 발생하는 서비스 거부 취약점
CVE-2023-27378
https://my.f5.com/manage/s/article/K000132726
BIG-IP
해당 취약점을 완화시키는 방법은 GUI를 통한 설정 완료 후 로그아웃 후 브라우저를 닫는방법 /  동일한 웹브라우저에서 인터넷 검색과 같은 다른 용도로 사용하지 않는 방법
BIG-IP 구성 유틸리티의 공개되지 않은 페이지의 오류로 인해 발생하는 Cross-Site Scripting (XSS) 취약점
CVE-2023-24461
https://my.f5.com/manage/s/article/K000132539
BIG-IP Edge ClientBIG-IP Edge Client가 연결을 시도할 때, 신뢰할 수 있는 시스템에 연결하고 있는지 확인하고 진행하기 전에 팝업 경고를 검토
BIG-IP Edge Client 오류로 인해 발생하는 MITM(man-in-the-middle) 취약점
CVE-2023-28742
https://my.f5.com/manage/s/article/K000132972
BIG-IP DNS
네트워크별 패킷필터 설정 / BIG-IP 방화벽(ACL) 규칙 설정 
BIG-IP 관리 포트 또는 자체 IP 주소를 통해 DNS iQuery 오류로 인해 발생하는 임의코드 실행 취약점
CVE-2023-28724
https://my.f5.com/manage/s/article/K000133233
NGINX
신뢰할 수 있는 사용자에 대한 접근을 제한하는 것입니다.
NGINX Management Suite 등의 오류로 인해 발생하는 정보 유출 취약점




CVE-2023-22372
https://my.f5.com/manage/s/article/K000132522
BIG-IP Edge Client
None
CVE-2023-29240
https://my.f5.com/manage/s/article/K000132719
BIG-IQiControl REST 접근 차단 
BIG-IQ 시스템에서 뷰어 등의 오류로 인해 발생하는 파일 업로드 취약점
CVE-2023-24594
https://my.f5.com/manage/s/article/K000133132
BIG-IP
None
CVE-2023-28406
https://my.f5.com/manage/s/article/K000132768
BIG-IP
완전히 신뢰할 수 없는 사용자의 접근을 제거 / 
Web UI 접근에 대한 차단(ACL) 설정