2025年4月第一週 資安威脅週報
【重要等級：嚴重風險】
【重要等級：嚴重風險】
| 弱點名稱 |
| F5：cURL vulnerability CVE-2020-8286 (Updated) |
|
► 摘要：F5部分產品使用之cURL套件7.41.0至7.73.0版本存在漏洞，對OCSP回應的驗 證不夠嚴謹，攻擊者可變造OCSP回應欺騙F5產品，讓實質已註銷的憑證被接受。 ► CVE 編號：CVE-2020-8286 ► 受影響廠商：F5 ► 受影響產品：BIG-IP (LTM, AAM, Advanced WAF, AFM, Analytics, APM, ASM, DDHD, DNS, FPS, GTM, Link Controller, PEM, SSLO)、BIG-IQ Centralized Management、F5OS ► BIG-IP (LTM, AAM, Advanced WAF, AFM, Analytics, APM, ASM, DDHD, DNS, FPS, GTM, Link Controller, PEM, SSLO) 17.0.0-17.1.0版本受影響，升級至17.1.1版本修正。 ► BIG-IP (LTM, AAM, Advanced WAF, AFM, Analytics, APM, ASM, DDHD, DNS, FPS, GTM, Link Controller, PEM, SSLO) 16.0.0-16.1.3版本受影響，升級至16.1.4版本修正。 ► BIG-IP (LTM, AAM, Advanced WAF, AFM, Analytics, APM, ASM, DDHD, DNS, FPS, GTM, Link Controller, PEM, SSLO) 15.1.0-15.1.9版本受影響，升級至15.1.10版本修正。 ► BIG-IP (LTM, AAM, Advanced WAF, AFM, Analytics, APM, ASM, DDHD, DNS, FPS, GTM, Link Controller, PEM, SSLO) 13.1.0-13.1.5與14.1.0-14.1.5等舊版本受影響，F5不提供這些 版本的修正，建議升級或移轉至修正版本。 ► BIG-IQ Centralized Management 8.0.0-8.4.0版本受影響，待F5釋出修正版本。 ► F5OS 1.0.0-1.1.4版本受影響，待F5釋出修正版本。 ► 其他緩解措施，請參閱公告 “Mitigation” 一節。 ► 修補說明：F5於2025/3/27更新此漏洞。（詳細請參考： https://my.f5.com/manage/s/article/K15402727 ） |
| F5：libssh2 vulnerabilities CVE-2019-3856, CVE-2019-3857, and CVE-2019-3863 (Updated) |
|
► 摘要：F5部分產品使用之libssh2套件存在下列漏洞： ► CVE-2019-3856、CVE-2019-3857：當使用者連線到伺服器時，遠端攻擊者有可能在用戶端 系統上執行任意程式碼。 ► CVE-2019-3863：攻擊者有可能使伺服器回應訊息長度異常的資料，進而導致out-of-bounds memory write。 ► CVE 編號：CVE-2019-3856、CVE-2019-3857、CVE-2019-3863 ► 受影響廠商：F5 ► 受影響產品：BIG-IP (LTM, AAM, Advanced WAF, AFM, Analytics, APM, ASM, DDHD, DNS, FPS, GTM, Link Controller, PEM, SSLO)、BIG-IQ Centralized Management、Traffix SDC ► BIG-IP (LTM, AAM, Advanced WAF, AFM, Analytics, APM, ASM, DDHD, DNS, FPS, GTM, Link Controller, PEM, SSLO) 16.0.0-16.0.1版本受影響，升級至16.1.0版本修正。 ► BIG-IP (LTM, AAM, Advanced WAF, AFM, Analytics, APM, ASM, DDHD, DNS, FPS, GTM, Link Controller, PEM, SSLO) 15.1.0-15.1.10版本受影響，待F5釋出修正版本。 ► BIG-IP (LTM, AAM, Advanced WAF, AFM, Analytics, APM, ASM, DDHD, DNS, FPS, GTM, Link Controller, PEM, SSLO) 14.1.0-14.1.5、13.1.0-13.1.5與12.1.0-12.1.6等舊版本受影響， F5不提供這些版本的修正，建議升級或移轉至修正版本。 ► BIG-IQ Centralized Management 5.4.0版本受影響，待F5釋出修正版本。 ► BIG-IQ Centralized Management 8.0.0-8.4.0、7.0.0-7.1.0與6.0.0-6.1.0等舊版本受影響，F5 不提供這些版本的修正，建議升級或移轉至修正版本。 ► Traffix SDC 5.1.0版本受影響，待F5釋出修正版本。 ► 其他緩解措施，請參閱公告 “Mitigation” 一節。 ► 修補說明：F5於2025/3/27更新此漏洞。（詳細請參考： https://my.f5.com/manage/s/article/K90011301 ） |
| F5：bzip2 vulnerability CVE-2019-12900 (Critical) (Updated) |
|
► 摘要：F5部分產品使用之bzip2套件，在1.0.6與之前版本之decompress.c的 BZ2_decompress函式，當處理過多的selector時，可能會出現out-of-bounds write，攻擊者可特製含惡意內容的bzip2壓縮檔進行攻擊。 ► CVE 編號：CVE-2019-12900 ► 受影響廠商：F5 ► 受影響產品：BIG-IP (LTM, AFM, Analytics, APM, ASM, DNS, Edge Gateway, FPS, GTM, Link Controller, WebAccelerator)、BIG-IP (AAM)、Enterprise Manager、 BIG-IQ Centralized Management、F5 iWorkflow、Traffix SDC ► BIG-IP (LTM, AFM, Analytics, APM, ASM, DNS, Edge Gateway, FPS, GTM, Link Controller, WebAccelerator) 17.1.0-17.1.1版本受影響，待F5釋出修正版本。 ► BIG-IP (LTM, AFM, Analytics, APM, ASM, DNS, Edge Gateway, FPS, GTM, Link Controller, WebAccelerator) 16.1.0-16.1.4版本受影響，待F5釋出修正版本。 ► BIG-IP (LTM, AFM, Analytics, APM, ASM, DNS, Edge Gateway, FPS, GTM, Link Controller, WebAccelerator) 15.0.0-15.1.10版本受影響，待F5釋出修正版本。 ► BIG-IP (LTM, AFM, Analytics, APM, ASM, DNS, Edge Gateway, FPS, GTM, Link Controller, WebAccelerator) 14.1.0-14.1.5、13.1.0-13.1.5、12.1.0-12.1.6與11.5.2-11.6.5等舊版本受影 響，F5不提供這些版本的修正，建議升級或移轉至修正版本。 ► BIG-IP (AAM) 15.0.0-15.1.10版本受影響，待F5釋出修正版本。 ► BIG-IP (AAM) 14.1.0-14.1.5、13.1.0-13.1.5、12.1.0-12.1.6與11.5.2-11.6.5等舊版本受影響， F5不提供這些版本的修正，建議升級或移轉至修正版本。 ► Enterprise Manager 3.1.1版本受影響，F5不計劃提供修正檔，請參閱公告 “Mitigation” 一節 了解緩解措施。 ► BIG-IQ Centralized Management 8.0.0-8.4.0版本受影響，待F5釋出修正版本。 ► BIG-IQ Centralized Management 7.0.0-7.1.0、6.0.0-6.1.0與5.2.0-5.4.0等舊版本受影響，F5 不提供這些版本的修正，建議升級或移轉至修正版本。 ► F5 iWorkflow 2.3.0版本受影響，F5不計劃提供修正檔，請參閱公告 “Mitigation” 一節了解緩 解措施。 ► Traffix SDC 5.0.0 - 5.2.0版本受影響，待F5釋出修正版本。 ► 其他緩解措施，請參閱公告 “Mitigation” 一節。 ► 修補說明：F5於2025/3/27更新此漏洞。（詳細請參考： https://my.f5.com/manage/s/article/K68713584） |
| VMware：VMware Tools for Windows update addresses an authentication bypass vulnerability (CVE-2025-22230) |
|
► 摘要：VMware Tools for Windows存在存取控制不當漏洞，已取得Windows虛擬機 (Ｗindows guest VM) 非管理者權限的攻擊者，可攻擊此漏洞以執行未授權高權限作 業。 ► CVE 編號：CVE-2025-22230 ► 受影響廠商：Broadcom ► 受影響產品：VMware Tools ► VMware Tools for Windows (x86, x64, arm) 12.x.x與11.x.x版本受影響，升級至 12.5.1版本 修正。 ► 修補說明：Broadcom VMware於2025/3/25發佈此漏洞。（詳細請參考： https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/25518） |
|
參考資料 ►CVE-2020-8286 https://www.cve.org/CVERecord?id=CVE-2020-8286 ►CVE-2019-3856 https://www.cve.org/CVERecord?id=CVE-2019-3856 ►CVE-2019-3857 https://www.cve.org/CVERecord?id=CVE-2019-3857 ►CVE-2019-3863 https://www.cve.org/CVERecord?id=CVE-2019-3863 ►CVE-2019-12900 https://www.cve.org/CVERecord?id=CVE-2019-12900 ►CVE-2025-22230 https://www.cve.org/CVERecord?id=CVE-2025-22230 |
| Logicalis網達先進科技 資安威脅通報 |