F5 网络 BIG-IP：BIG-IP ASM XSS 漏洞 (K14812883)

medium Nessus 插件 ID 123030

语言：

简介

远程设备缺少供应商提供的安全修补程序。

描述

这是配置实用工具查看到的 ASM 冲突中一个存储型跨站脚本 (XSS) 漏洞。在最严重的情况下，攻击者可能会存储 CSRF，造成以管理员用户身份执行代码。(CVE-2019-6607) 能够存储此攻击的用户级别有 ASM 管理员、资源管理员和管理人。ASM 管理员无法访问高级 Shell，但可能会利用此缺陷存储攻击，造成当拥有高级 Shell 访问权限的管理员浏览托管有利用代码的特定 BIG-IP ASM 配置实用工具页面时，会执行 shell 命令。尽管在非设备和设备模式系统中存在存储型 CSRF 的可能性，但如果系统配置为设备模式，由于不存在可用的 shell，因此不可能执行 shell 命令。影响攻击者可能会将恶意脚本注入 BIG-IP ASM 配置实用工具。此外，攻击者可能会诱骗 BIG-IP ASM 配置实用工具用户执行恶意代码。