Trusted Design

解説:

CVE-2023-46747は、F5 BIG-IP製品に存在する認証バイパスの脆弱性です。以下に、その詳細を解説します。

---

1. 脆弱性の概要

CVE-2023-46747は、F5 BIG-IPのトラフィック管理ユーザーインターフェース (TMUI: Traffic Management User Interface) における認証バイパスの脆弱性で、Apache JServ Protocol (AJP) のリクエストスマグリングのバグとして特定されています。これにより、認証されていない攻撃者がBIG-IPシステムにネットワークアクセスを介して任意のシステムコマンドを実行できる可能性があります。

1.1 影響

この脆弱性が悪用された場合、認証されていないリモートの攻撃者が、管理ポートやSelf-IPアドレスを介してBIG-IPシステムにアクセスし、root権限で任意のシステムコマンドを実行できる可能性があります。データプレーンへの影響はなく、コントロールプレーンの問題とされています。

1.2 深刻度

CVE-2023-46747のCVSSv3スコアは9.8であり、「Critical（緊急）」と評価されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

特定のOSバージョンの記載は見当たりませんが、F5 BIG-IP製品の特定のバージョンが影響を受けます。

2.2 影響を受ける設定

影響を受けるF5 BIG-IPのバージョンは以下の通りです。

• 17.x: 17.1.0
• 16.x: 16.1.0 – 16.1.4
• 15.x: 15.1.0 – 15.1.10
• 14.x: 14.1.0 – 14.1.5
• 13.x: 13.1.0 – 13.1.5

なお、BIG-IQ、F5OS-A、F5OS-C、BIG-IP Nextは本脆弱性の影響を受けません。

3. 影響を受けた時の兆候

• CVE-2023-46747が悪用された場合、脅威アクターがCVE-2023-46748（認証済みSQLインジェクションの脆弱性）を悪用するために使用した事例がF5によって確認されています。
• 具体的な兆候としては、BIG-IPシステムの管理ポートやSelf-IPを介した不審なアクセス、およびroot権限での予期せぬシステムコマンドの実行などが挙げられます。F5は、システムが侵害された疑いがある場合のガイダンスを提供しています。
• Mandiantは、BIG-IPイベントストリーミングをSIEMに有効にし、syslog設定に従って、管理者ログイン、認証失敗、権限および設定の変更などのログイン試行を監視することで、可視性とアラートを強化することを推奨しています。

4. 推奨対策

4.1 本対策

• F5 Networks, Inc.が公開しているセキュリティアップデート（ホットフィックス）の適用が強く推奨されます。
• 各バージョンに対応するホットフィックスは、F5 Networks, Inc.のセキュリティアドバイザリに記載されています。
• 具体的なアップグレードバージョンは以下の通りです。
  • BIG-IP 17.x: 17.1.0.3 および Hotfix-BIGIP-17.1.0.3.0.75.4-ENGを適用
  • BIG-IP 16.x: 16.1.4.1 および Hotfix-BIGIP-16.1.4.1.0.50.5-ENGを適用
  • BIG-IP 15.x: 15.1.10.2 および Hotfix-BIGIP-15.1.10.2.0.44.2-ENGを適用
  • BIG-IP 14.x: 14.1.5.6 および Hotfix-BIGIP-14.1.5.6.0.10.6-ENGを適用
  • BIG-IP 13.x: 13.1.5.1 および Hotfix-BIGIP-13.1.5.1.0.20.2-ENGを適用

4.2 暫定回避策（緩和策）

• パッチをすぐに適用できない場合、F5が提供する緩和策を検討することが推奨されています。
• 管理インターフェースやSelf-IPアドレスを介したConfiguration utilityへのアクセスをブロックすることで、攻撃対象領域を制限できます。
• BIG-IPバージョン14.1.0以降では、F5が提供する緩和スクリプトを実行することが可能です。ただし、14.1.0より前のバージョンではこのスクリプトを使用しないでください。

5. 他に解説すべき観点

• 悪用状況: 本脆弱性は既に攻撃で悪用されていることが確認されており、米CISAの「悪用が確認されている脆弱性（KEV）」カタログにも追加されています。
• 攻撃手法の背景: この脆弱性は、Apache HTTPdとAJP (Apache JServ Protocol) 間におけるHTTPリクエスト処理の不整合（Content-Length/Transfer-Encodingヘッダの取り扱い）に起因するリクエストスマグリングのバグが根本原因です。
• PoCの公開: 脆弱性の公開後、速やかにPoC (Proof of Concept) スクリプトが公開されており、悪用が容易になっています。
• 脅威アクター: 中国関連の脅威アクターであるUNC5174が、本脆弱性を積極的に悪用していることがMandiantの調査で示されています。彼らはアクセスブローカーとして活動し、政府機関や防衛関連企業などを標的としています。

---

参照したサイト

• F5 BIG-IPの重大脆弱性が公開されました。悪用も確認（CVE-2023-46747） - SOMPO CYBER SECURITY
• F5 BIG-IP Unauth RCE via AJP Smuggling (CVE-2023-46747) - Technical Analysis — ProjectDiscovery Blog
• CVE-2023-46747: F5 BIG-IP Vulnerability Analysis & Mitigation Guide - AccuKnox
• F5 BIG-IP Exploit Attempt - CVE-2023-46747 - ExtraHop
• K000137353: BIG-IP Configuration utility unauthenticated remote code execution vulnerability CVE-2023-46747 - MyF5
• CVE-2023-46747: F5 BIG-IP Unauthenticated Remote Code Execution Vulnerability - Picus Security
• F5、BIG-IPの重大なRCE脆弱性について警告：CVE-2023-46747 | Codebook｜Security News
• CVE-2023-46747: Critical Authentication Bypass Vulnerability in F5 BIG-IP - Blog - Tenable
• 脅威ブリーフィング：国家主体アクターがF5のソースコードと未公開の脆弱性を窃取 - Mandiant
• NVD - CVE-2023-46747 - NIST
• Bringing Access Back — Initial Access Brokers Exploit F5 BIG-IP (CVE-2023-46747) and ScreenConnect | Google Cloud Blog
• CVE-2023-46747：F5 BIG-IP远程代码执行漏洞 - 腾讯云 (Tencent Cloud)
• JVNDB-2023-015874 - JVN iPedia - 脆弱性対策情報データベース
• 关于F5 BIG-IP远程代码执行漏洞（CVE-2023-46747）的预警提示 - 信息中心
• F5 BIG-IPの重大な脆弱性、悪用始まる：CVE-2023-46747 | Codebook｜Security News
• F5 BIG-IP CVE-2023-46747: Anatomy of a Critical TMUI Authentication Bypass and Remote Code Execution - ZeroPath Blog
• CVE-2023-46747 | Tenable®
• F5「BIG-IP」に認証バイパスの脆弱性 - ホットフィクスの適用を - Security NEXT
• F5 BIG-IP RCE（CVE-2023-46747）漏洞分析复现 - idocdown.com
• CVE-2023-46747和AJP走私漏洞 - 奇安信
• F5 BIG-IP 远程代码执行漏洞(CVE-2023-46747).md - GitHub
• 標的型メール訓練サービス｜サイバープロテクター｜三井住友海上火災保険
• セキュリティ対策の各種サービス｜サイバー攻撃・情報漏えい保険『サイバープロテククター』
• 脆弱性対策情報 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
• Oracle Linux 8 / 9 : Unbreakable Enterprise カーネル (ELSA-2024 ...