FICHE CVE

CVE-2022-26890

Publiée le 2022-05-05 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les appareils F5 BIG-IP utilisant Advanced WAF, ASM ou APM sont concernés s'ils utilisent des paramètres spécifiques de gestion des sessions (session awareness). Un attaquant non authentifié disposant d'un accès réseau peut envoyer des requêtes spécialement conçues pour faire planter le processus `bd`, entraînant un déni de service. L'exécution de cette attaque est relativement simple car elle ne nécessite aucune interaction de l'utilisateur ni d'identifiants de connexion préalables.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

CWE-670

Publiée2022-05-05

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéAucun

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

On F5 BIG-IP Advanced WAF, ASM, and APM 16.1.x versions prior to 16.1.2.1, 15.1.x versions prior to 15.1.5, 14.1.x versions prior to 14.1.4.6, and 13.1.x versions prior to 13.1.5, when ASM or Advanced WAF, as well as APM, are configured on a virtual server, the ASM policy is configured with Session Awareness, and the "Use APM Username and Session ID" option is enabled, undisclosed requests can cause the bd process to terminate. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated