F5 网络 BIG-IP：NPM CLI 漏洞 （K000161886）
high Nessus 插件 ID 324919
语言：
简介
远程设备缺少供应商提供的安全补丁。描述
远程主机上安装的 F5 Networks BIG-IP 版本低于 17.1.3.1 / 17.5.1.6。因此，该软件受到 K000161886 公告中提及的多个漏洞影响。CVE-2019-16775之前 6.13.3 的 npm CLI 版本容易受到任意文件写入的影响。在安装时，程序包可以通过 bin 字段创建指向 node_modules 文件夹之外文件的符号链接。在 package.json bin 字段中正确构建的条目允许程序包发布者在安装程序包时创建指向用户系统中任意文件的符号链接。通过安装脚本安装时仍然可能出现此行为。此漏洞可绕过使用 --ignore-scripts 安装选项的用户。CVE-2019-16776之前 6.13.3 的 npm CLI 版本容易受到任意文件写入的影响。它无法阻止通过 bin 字段访问预期 node_modules 文件夹之外的文件夹。在 package.json bin 字段中正确构建的条目允许程序包发布者在安装程序包时修改和/或取得对用户系统中任意文件的访问权。通过安装脚本安装时仍然可能出现此行为。此漏洞可绕过使用 --ignore-scripts 安装选项的用户。CVE-2019-16777之前 6.13.4 的 npm CLI 版本容易受到任意文件覆盖的影响。它无法阻止其他程序包安装覆盖现有全局安装的二进制文件。例如，如果应用程序全局安装了一个程序包并创建了 serve 二进制文件，则后续安装同样会创建 serve 二进制文件的程序包时将覆盖之前的 serve 二进制文件。在本地安装中以及通过安装脚本安装时仍会允许此行为。此漏洞可绕过使用 --ignore-scripts 安装选项的用户。
Tenable 直接从 F5 Networks BIG-IP 安全公告中提取了前面的描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
升级至 F5 解决方案 K000161886 中列出的无漏洞版本之一。另见
插件详情
严重性: High
ID: 324919
文件名: f5_bigip_SOL000161886.nasl
版本: 1.1
类型: Local
发布时间: 2026/7/2
最近更新时间: 2026/7/2
支持的传感器: Nessus
风险信息
VPR
风险因素: Medium
分数: 4.3
百分位: 53.06
CVSS v2
风险因素: Medium
基本分数: 5.5
时间分数: 4.1
矢量: CVSS2#AV:N/AC:L/Au:S/C:N/I:P/A:P
CVSS 分数来源: CVE-2019-16777
CVSS v3
风险因素: High
基本分数: 8.1
时间分数: 7.1
矢量: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
CVSS 分数来源: CVE-2019-16776
漏洞信息
CPE: cpe:/a:f5:big-ip_application_security_manager, cpe:/a:f5:big-ip_access_policy_manager, cpe:/a:f5:big-ip_advanced_firewall_manager, cpe:/a:f5:big-ip_global_traffic_manager, cpe:/a:f5:big-ip_local_traffic_manager, cpe:/a:f5:big-ip_policy_enforcement_manager, cpe:/a:f5:big-ip_wan_optimization_manager, cpe:/a:f5:big-ip_domain_name_system, cpe:/h:f5:big-ip_protocol_security_manager, cpe:/h:f5:big-ip, cpe:/a:f5:big-ip_ssl_orchestrator, cpe:/a:f5:big-ip_irules_lx, cpe:/a:f5:big-ip_iapps_lx
必需的 KB 项: Host/local_checks_enabled, Host/BIG-IP/hotfix, Host/BIG-IP/modules, Host/BIG-IP/version
易利用性: No known exploits are available
补丁发布日期: 2026/7/2
漏洞发布日期: 2019/12/13