「BIG-IP」に定例外アドバイザリ - 複数脆弱性を修正

F5が提供する「BIG-IP」や「BIG-IQ」に複数の脆弱性が明らかとなった。一部脆弱性は重要度を「高（High）」と評価し、修正版を提供している。

同社は現地時間2026年9月2日に定例外でセキュリティアドバイザリを公開。2件の脆弱性「CVE-2026-66842」「CVE-2026-63020」を明らかにした。いずれも管理機能などのコントロールプレーンにおける脆弱性としている。

「CVE-2026-66842」は、管理インタフェースにネットワークアクセスできる場合、権限の昇格が可能となるサーバサイドリクエストフォージェリ（SSRF）の脆弱性。「BIG-IP」の「Configuration utility」に対する非公開のリクエストを通じ、任意のロールを持つ認証済みユーザーが管理者アカウントを作成できる。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「8.7」、「CVSSv3.1」では「8.8」と評価されている。重要度は「高（High）」。

一方「CVE-2026-63020」は、「BIG-IP」の「Configuration utility」においてエラーメッセージを偽装できる脆弱性。攻撃者が認証済み利用者を悪意あるリンクへ誘導し、ブラウザセッション上に偽装したエラーメッセージを表示させることができる。「CVSSv4.0」では「2.3」、「CVSSv3.1」では「3.1」とし、重要度は「低（Low）」。

同社は「BIG-IP 21.1.0.1」「同21.0.0.3」「同17.5.1.8」「同17.1.3.4」や「BIG-IQ 8.4.2.1」で「CVE-2026-66842」を修正。「CVE-2026-63020」についても「BIG-IP 21.1.0.1」「同17.5.1.8」「同17.1.3.4」で対処した。

（Security NEXT - 2026/09/08 ）ツイート

「BIG-IP」に定例外アドバイザリ - 複数脆弱性を修正

関連リンク

PR

関連記事