CVE-2023-46748highbajo ataqueCWE-89

CVE-2023-46748: fallo de gravedad alta en F5 BIG-IP

BIG-IP Configuration utility authenticated SQL injection vulnerability

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear BIG-IP+ Monitorear BIG-IP Configuration Utility

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

51Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA.

ssvc Actcvss 8.8epss 4.3%
de la publicación al arma
Publicada en NVD26 oct
CISA KEV+5d
Acción exigida por CISAplazo federal: 2023-11-21

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

En resumen

Un atacante autenticado con acceso a la utilidad de configuración de BIG-IP puede inyectar comandos SQL maliciosos para ejecutar comandos arbitrarios en el servidor. Esto es peligroso porque permite control total del sistema BIG-IP afectado.

Detalle técnico

Vulnerabilidad de inyección SQL en la utilidad de configuración de BIG-IP requiere autenticación previa y acceso de red al puerto de gestión o direcciones IP propias. El atacante puede insertar entrada SQL maliciosa para eludir la lógica de consultas y ejecutar comandos arbitrarios del sistema operativo, resultando en compromiso total del sistema.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

An authenticated SQL injection vulnerability exists in the BIG-IP Configuration utility which may allow an authenticated attacker with network access to the Configuration utility through the BIG-IP management port and/or self IP addresses to execute arbitrary system commands.  Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Productos afectados
F5 · BIG-IP
CVEs relacionadas — F5 BIG-IP

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-1388CRITICALCVE-2022-1388EPSS 100.0%KEVCVE-2023-46747CRITICALBIG-IP Configuration utility unauthenticated remote code execution vulnerabilityEPSS 96.7%KEVCVE-2026-94127CRITICALBIG-IP APM OAuth vulnerabilityEPSS 26.6%KEVCVE-2025-53521CRITICALBigIP APM VulnerabilityEPSS 2.3%KEVCVE-2022-41622HIGHiControl SOAP vulnerabilityEPSS 92.4%CVE-2022-41800HIGHAppliance mode iControl REST vulnerabilityEPSS 76.9%