Trusted Design

CVE-2022-1388 の詳細

CVEの情報

説明:
On F5 BIG-IP 16.1.x versions prior to 16.1.2.2, 15.1.x versions prior to 15.1.5.1, 14.1.x versions prior to 14.1.4.6, 13.1.x versions prior to 13.1.5, and all 12.1.x and 11.6.x versions, undisclosed requests may bypass iControl REST authentication. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated

CVE更新日: 2022-05-05 17:15:10.570000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2022-05-10

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999540000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2022-1388の解説

1. 脆弱性の概要

CVE-2022-1388は、F5 BIG-IP製品のiControl RESTインターフェースに存在する、認証バイパスの脆弱性です。この脆弱性を悪用することで、認証されていない攻撃者がネットワーク経由でBIG-IPシステムにアクセスし、任意のシステムコマンドを実行できる可能性があります。 この問題は「Critical Functionに対する認証の欠如 (CWE-306)」として分類されています。

1.1 影響

この脆弱性が悪用された場合、認証されていない攻撃者は、管理ポートまたは自己IPアドレスを介してBIG-IPシステム上で以下の操作を実行できます。

  • 任意のシステムコマンドの実行
  • ファイルの作成または削除
  • サービスの無効化

これにより、攻撃者は影響を受けるサーバーを完全に制御し、マルウェアの実行やWebシェル（バックドア）のインストールなど、さらなる攻撃を仕掛ける可能性があります。 この脆弱性は、データプレーンではなく、コントロールプレーンの問題です。

1.2 深刻度

CVE-2022-1388のCVSSv3スコアは9.8であり、「緊急（Critical）」と評価されています。 CISA（サイバーセキュリティ・インフラセキュリティ庁）の既知の悪用された脆弱性カタログ（Known Exploited Vulnerabilities Catalog）にも追加されており、活発な悪用が確認されています。

2. 対象となる環境

この脆弱性は、F5 BIG-IP製品のiControl RESTインターフェースに存在します。

2.1 影響を受けるOSバージョン

特定のOSバージョンというよりも、F5 BIG-IP製品の以下のバージョンが影響を受けます。

  • 16.1.x (16.1.2.2より前のバージョン)
  • 15.1.x (15.1.5.1より前のバージョン)
  • 14.1.x (14.1.4.6より前のバージョン)
  • 13.1.x (13.1.5より前のバージョン)
  • 12.1.x (すべてのバージョン)
  • 11.6.x (すべてのバージョン)

なお、バージョン12.1.xおよび11.6.xはEOL（End of Technical Support）に達しているため、パッチは提供されていません。

2.2 影響を受ける設定

BIG-IPシステムの管理ポートまたは自己IPアドレスを介してネットワークアクセスが可能な設定が影響を受けます。 特に、これらの管理インターフェースがインターネットに公開されている場合、攻撃のリスクが高まります。

3. 影響を受けた時の兆候

以下のような兆候が見られる場合、システムがCVE-2022-1388によって侵害されている可能性があります。

  • /var/log/restjavad.0.log および /var/log/ltm に不審なAPIアクセスパターンや不正なコマンド実行の形跡
  • 外部IPアドレスからの /mgmt/tm/util/bash や類似のiControl RESTエンドポイントへの予期せぬHTTP POSTリクエスト
  • X-F5-Auth-Tokenを参照するような、異常なConnectionヘッダー値を含むHTTPリクエスト
  • 管理者の操作なしにBIG-IPデバイス上に新しいユーザーアカウント、SSHキー、またはcronジョブが作成された証拠
  • 認証が成功していないにもかかわらず、iControl REST APIを介したHTTPリクエストの実行
  • 不正なWebシェルのインストール（例：/tmp/f5.shにPHP Webシェルがドロップされ、/usr/local/www/xui/common/css/にインストールされる）
  • F5ファイルシステムの削除など、ロードバランシングやWebサイトの機能が停止するなどの異常な動作

4. 推奨対策

4.1 本対策

F5 BIG-IPを以下の修正済みバージョンにアップグレードすることが推奨されます。

  • 17.0.0
  • 16.1.x から 16.1.2.2 へ
  • 15.1.x から 15.1.5.1 へ
  • 14.1.x から 14.1.4.6 へ
  • 13.1.x から 13.1.5 へ

EOLバージョンの12.1.xおよび11.6.xについては、パッチが提供されないため、サポートされているバージョンへのアップグレードが推奨されます。

4.2 暫定回避策（緩和策）

パッチを適用できない場合、以下の緩和策を実施することでリスクを軽減できます。

  • iControl RESTアクセスを自己IPアドレス経由でブロックする: 各自己IPアドレスのPort Lockdown設定を「Allow None」に変更して、iControl RESTインターフェースへのアクセスを制限します。
  • 管理インターフェースからのiControl RESTアクセスをブロックする: httpd設定を変更し、許可された送信元IPアドレスを制限することで、管理インターフェースからのiControl RESTアクセスをブロックします。
  • BIG-IP httpd構成を変更する: /config/httpd/conf.d/ に設定ディレクティブを追加して、すべてのREST APIエンドポイントに認証を要求するように変更します。
  • 管理インターフェースをインターネットに公開しない: 管理インターフェースへのアクセスを信頼できるネットワークに限定し、アクセス制御リスト (ACL) などでアクセス元を厳しく制限します。
  • 多要素認証（MFA）を強制する。
  • F5 BIG-IPデバイスの詳細なロギングを有効にし、ログをSIEMに転送して一元的に分析する。
  • BIG-IP管理インターフェースから予期せぬ外部へのネットワーク接続を監視する。
  • 重要なBIG-IP設定ファイルおよびシステムバイナリのファイル整合性監視を実装する。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る