F5、「BIG-IP」などに複数の脆弱性 - アップデートで修正

F5は、四半期ごとのセキュリティアドバイザリを公開し、同社ネットワーク製品「BIG-IP」やウェブサーバ「NGINX」の脆弱性へ対処したことを明らかにした。

現地時間2月5日にアドバイザリを公開し、重要度が「高（High）」とされる13件の脆弱性や、「中（Medium）」とされる3件、「低（Low）」とされる1件のあわせて17件について明らかにしたもの。

脆弱性によって影響を受ける製品やバージョンは異なるが、「BIG-IP」や「BIG-IP Next SPK」「BIG-IP Next CNF」「BIG-IP Next Central Manager」「NGINX」においてアップデートが提供されている。

なかでも、「BIG-IP」の「iControl REST」「BIG-IP TMOS Shell（tmsh）」において認証されたユーザーにより任意のコマンドが実行できるコマンドインジェクションの脆弱性「CVE-2025-20029」は、共通脆弱性評価システム「CVSSv3.1」のベーススコアが「8.8」と評価されている。

また同じく「iControl REST」には別のコマンドインジェクションの脆弱性「CVE-2025-23239」も存在。アプライアンスモードにおいて管理者ロールを持つユーザーによって任意のシェルコマンドが実行できるという。CVSS基本値は「8.7」となっている。

（Security NEXT - 2025/02/18 ） ツイート

PR

関連記事

米当局、悪用が確認された脆弱性4件について注意喚起
「ConnectWise ScreenConnect」に脆弱性 - 修正版が公開
NETSCOUT「nGeniusONE」に複数の脆弱性 - アップデートで修正
Python向けHTTPライブラリに脆弱性 - リクエストスマグリング攻撃のおそれ
ゼロデイ攻撃は8カ月以上前 - 「Active! mail」脆弱性の影響拡大に懸念
「Erlang/OTP」脆弱性、一部Cisco製品で影響が判明
「ActiveMQ NMS OpenWire Client」にRCE脆弱性 - 修正版が公開
「GitHub Enterprise Server」に複数脆弱性 - アップデートで修正
NVIDIA製GPUドライバに複数の脆弱性 - 権限昇格やDoSのおそれ
トレンドの法人向け複数製品に脆弱性 - アップデートで修正