Dauerhaft ausgenutzt KEV-Katalog Ransomware Ohne Anmeldung

CVE-2022-1388

F5 BIG-IP Missing Authentication Vulnerability

CheckOps-Prioritätsindex

9,9/10 Binnen 24 h patchen

Schweregrad9,8

Wahrscheinlichkeit10,0

Ausnutzung5/5

Schweregrad = CVSS. Wahrscheinlichkeit = EPSS (FIRST). Ausnutzung = öffentliche Signale: KEV, EUVD, Ransomware, EPSS über 10 %, ohne Konto.

EPSS · heute 99,95 % höher als 99,97 % aller CVE

CVSS 3.1 9,8 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:

Ausgenutzt seit 1.638 Tagen 10.05.2022

CISA-Frist 31.05.2022 für US-Bundesbehörden

Ausnutzungswahrscheinlichkeit EPSS · FIRST

EPSS-Wahrscheinlichkeit (%)Perzentil unter allen CVE

Ausnutzungssignale 5 / 5

KEV-Katalog (CISA)10.05.2022
In der EUVD ausgenutzt (ENISA)10.05.2022
Von Ransomware genutztja
EPSS über 10 %99,95 %
Ohne Konto, über das Netzja

Was tun

Beheben

Den Patch des Herstellers einspielen, sobald er verfügbar ist.

Vorgabe der CISA: Apply updates per vendor instructions.

Bis dahin

Den Dienst vom Internet nehmen oder den Zugriff einschränken, Protokolle überwachen und nach Kompromittierungsspuren suchen.

Hersteller (CRA)

Ausgenutzte Schwachstelle in Ihrem Produkt: Frühwarnung an die ENISA binnen 24 h, dann Meldung binnen 72 h (Artikel 14 des Cyber Resilience Act). Der CRA erklärt

Beschreibung ENISA EUVD

On F5 BIG-IP 16.1.x versions prior to 16.1.2.2, 15.1.x versions prior to 15.1.5.1, 14.1.x versions prior to 14.1.4.6, 13.1.x versions prior to 13.1.5, and all 12.1.x and 11.6.x versions, undisclosed requests may bypass iControl REST authentication. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated

Text der Quelle, auf Englisch.

Betroffene Produkte

BIG-IP

Betroffene Versionen

14.1.x <14.1.4.6
13.1.x <13.1.5
12.1.x ≤12.1.6
15.1.x <15.1.5.1
16.1.x <16.1.2.2
11.6.x ≤11.6.5

Schwächen (CWE)

CWE-306

Open-Source-Pakete OSV

Betroffene Bibliotheken laut OSV, mit behobenen Versionen.

Zeitverlauf

05.05.2022
Veröffentlichung
10.05.2022
Ausnutzung gemeldet (ENISA)
10.05.2022
Aufnahme in den KEV-Katalog
31.05.2022
CISA-Frist zur Behebung
26.09.2026
EPSS-Höchstwert: 99,95 %

Referenzen

Weitere ausgenutzte Schwachstellen desselben Herstellers

CVE-2026-94127F5 BIG-IP APM Heap-based Buffer Overflow Vulnerability
6,9 · Aktiv ausgenutzt
CVE-2025-53521F5 BIG-IP Stack-Based Buffer Overflow Vulnerability
5,6 · Dauerhaft ausgenutzt
CVE-2023-46748F5 BIG-IP Configuration Utility SQL Injection Vulnerability
4,8 · Dauerhaft ausgenutzt
CVE-2023-46747F5 BIG-IP Configuration Utility Authentication Bypass Vulnerability
9,8 · Dauerhaft ausgenutzt
CVE-2021-22991F5 BIG-IP Traffic Management Microkernel Buffer Overflow
8,2 · Dauerhaft ausgenutzt
CVE-2021-22986F5 BIG-IP and BIG-IQ Centralized Management iControl REST Remote Code Execution Vulnerability
9,9 · Dauerhaft ausgenutzt